Vyattaがグローバルとプライベートの両方のIPを
持ってるって思っていいの？

出来るんじゃないかと思うけど、NATがちょっと面倒な事になる予感。

とりあえずサーバかvyattaでパケットキャプチャしてみては。
ありがちなパターンとしては、行きか戻りパケットの
宛先NAT、送信元NATが上手く行ってないんじゃなかろうか。