Пума Тайланд

Зачем тут влан ?
Зачем тут второй бридж если на обоих виртуальные айпи
Вланы сносим, второй бридж сносим, вуаля система в три раза проще и работает

Уберите вообще фаервол с хостовой машины, нахрена он вам там, только контраки забивать

По сути никак только фильтруйте иптаблесом трафик а на виртуалках живите без фаеволе

В нгинксе точно нет в фаервол посмотрите расширенном икстаблесе, если дата одинаковая точно можно

надо поставить расширенные модули айпитаблеса которые умеют разбирать пакеты на высоком уровне оси и там уже открывать и запрещать доступ

Наймите админа с опытом

просто их в отдельный бридж и фаерволом закрыть доступ

Никак это же опенвз

нгинкс
сетевые реквезиты указываются в настройках контейнера

Маркируйте пакеты юзера в иптаблес и для маркнутых пакетов сделайте отдельную таблицу маршрутизации

А не проще на стороне вебсервере просто отсечь по рейту к динамическим страницам не более пяти в секунду

Ну добавьте интерфейс на втором бридже

скрипт вам нужен в системах где айпитаблес не настраивается на системном уровне, к примеру в убунту, в центосе есть /etc/sysconfig/iptables и логично пользоваться им так как прекрасно работает сервис айпитаблес старт рестарт стоп
понимает он потому что есть соотвествующий скрипт в инит д или в систем д

Ни как , блокируйте на стороне клаудфларе

iptables -vxnL
там будет полный список правил, в нем будет видно сколько пакетов попало в это правило

Если у вас центос 6 то этот скрипт точно работает, так как у вас не добавляются айпи логично что файл с ними не подгружается, если он не подгружается то скорее всего нет прав на его создание у скрипта.
Защищаю всех своих клиентов от ддоса, если сами не разберетесь обращайтесь.

в разрезе стоимости 4 гигов оперативы на уровне тысячи рублей это не серьезно.

пусть идет

У вас на роутере линукс или просто роутер железка с вебинтерфейсом?