В общем решился вопрос.. На будущее, если кто-то еще такой-же отбитый на всю голову - вот решение, которое помогло мне:

# Клонируем arm-trusted-firmware
git clone https://git.trustedfirmware.org/TF-A/trusted-firmware-a.git

# Переходим в директорию
cd trusted-firmware-a

# Собираем (вот тут меня и ждали грабли, ибо сборка все время вылетала с ошибкой 
# RWX permissions что-то там. Решилось тупым отключением предупреждений в секции LDFLAGS)
make CROSS_COMPILE=aarch64-linux-gnu- PLAT=sun50i_a64 LDFLAGS=--no-warn-rwx-segments

# Собираем u-boot по прежней схеме, но с указанием того самого BL31
make ARCH=arm CROSS_COMPILE=aarch64-linux-gnu- orangepi_3_lts_defconfig
make ARCH=arm CROSS_COMPILE=aarch64-linux-gnu- BL31=../trusted-firmware-a/build/sun50i_h6/release/bl31.bin
 -j6

Вот после включения arm trusted firmware - все ожило! :))

и так. Всем, чье время я потратил - большое спасибо. Все это связанно с тем, что я не до конца понял работу iptables. сделал вот так:

iptables -t nat -A POSTROUTING -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.88.0/24 -o wlan0 -j SNAT --to-source=192.168.1.11

где wlan0 - источник, от куда берется интернет

И самое главное - DNS.

domain=fck
server=1.1.1.1
server=8.8.8.8
server=8.8.4.4

ведь сетевой интерфейс с адресом 88.118 - получал в качестве DNS - 192.168.88.1, а на данном шлюзе DNS-сервер не настроен. Сделал ему форвард на сервера cloudflare и google, рестартнул - все запустилось. Всем спасибо за помощь и простите за глупости