私有网络中VLAN内服务器无法访问互联网的排查求助

各位大佬好，我现在遇到一个网络配置的问题，折腾了好久没搞定，来求助大家！先把我的环境详细说清楚：

• 所有服务器都是Hetzner的：网关和Server1是云服务器，Server2是通过vSwitch连接的物理服务器
• 整体私有网络段：10.1.0.0/16，已经设置静态路由0.0.0.0/0 -> 10.1.0.2（这个是pfSense网关，负责OpenVPN和DNS解析）
• 子网划分：
  • 10.1.0.0/24：网关地址10.1.0.2，Server1（Ubuntu 22.04云服务器）地址10.1.0.3
  • 10.1.1.0/24：Server2（Ubuntu 22.04物理服务器）地址10.1.1.3，通过VLAN 4000接入网络
• 核心要求：Server1和Server2都不能有公网IP，所有流量必须走网关；所有DNS请求（53端口）都路由到网关；我已经能通过VPN正常接入私有网络

各服务器现状 #

Server1（正常）

• 可通过VPN访问，能ping通10.1.0.1、10.1.0.2、10.1.1.3，也能正常访问互联网
• DNS解析正常（内外域名都能通过pfSense的DNS Resolver解析）
• 路由表输出：

default via 10.1.0.1 dev enp7s0 proto static onlink
10.1.0.0/16 via 10.1.0.1 dev enp7s0 proto dhcp src 10.1.0.3 metric 100
10.1.0.1 dev enp7s0 proto dhcp scope link src 10.1.0.3 metric 100
169.254.169.254 via 10.1.0.1 dev enp7s0 proto dhcp src 10.1.0.3 metric 100

• Netplan配置：

network:
  version: 2
  renderer: networkd
  ethernets:
    enp7s0:
      dhcp4: true
      routes:
        - to: default
          via: 10.1.0.1
      nameservers:
        addresses:
          - 10.1.0.2
          - 8.8.4.4
          - 8.8.8.8

• tracepath -n 10.1.1.3和tracepath -n google.com都能正常走完路径

Server2（异常）

• 可通过VPN访问，能ping通10.1.0.2、10.1.0.3，但无法ping通10.1.1.1（自身子网的网关），也完全不能访问互联网
• DNS解析正常（内外域名都能通过pfSense解析）
• 路由表输出：

default via 10.1.1.1 dev enp2s0.4000 proto static
10.1.1.0/24 dev enp2s0.4000 proto kernel scope link src 10.1.1.3

• Netplan配置：

network:
  version: 2
  renderer: networkd
  ethernets:
    enp2s0: {}
  vlans:
    enp2s0.4000:
      id: 4000
      link: enp2s0
      mtu: 1400
      addresses:
        - 10.1.1.3/24
      routes:
        - to: default
          via: "10.1.1.1"
      nameservers:
        addresses:
          - 10.1.0.2
          - 8.8.4.4
          - 8.8.8.8

• tracepath -n 10.1.0.3能正常到达，但tracepath -n google.com第一步就没有回复

现在我实在搞不懂：Server2能正常访问私有网络里的其他服务器，但就是连不上自己子网的网关10.1.1.1，自然也没法走网关出去访问互联网。会不会我哪里漏看了配置？有没有大佬能给点排查方向或者思路？

备注：内容来源于stack exchange，提问作者stewie