> это нонсенс!

Не всегда.
- В облаке, пусть даже на 300 физ-машин, намного проще использовать софтовые решения. Особенно, если это облако - CDN-origin. Брандмауэр можно не только вынести отдельно, но и даже купить CDN. И общаться они будут через интернет.
- Для инфраструктуры, типа - 1-10 proxmox/opennebula-серверов для всего - есть bridge с глобальной сетью и диапазоном IP-адресов. Из проксмокса они раздаются тем виртуалкам, где они нужны. Одна из таких виртуалок - роутер с маскарадингом, подключенный во внутренние сети.

Конечно, есть и промежуточный(классический вариант). Я так делал раньше, с отдельным PC-роутером или cisco-asa, но сейчас для меня это не стоит тех трудозатрат и железозатрат. Этому так же способствовал колокейшн инфраструктуры за рубежом.