Unreachable a redirect jsou dvě různé věci. Když nebudete používat NAT, můžete používat IPsec, a pak řízení směrování pomocí ICMP paketů žádné bezpečnostní riziko nepředstavuje.
O tom, že dvě konektivity nelze používat bez NATu, mne nepřesvědčíte. Můj mobil má jednu konektivitu přes WiFi, druhou přes GSM, a jsou to dva úplně odlišní ISP. Takže kdybych měl určit, co je ta síť, která podle vás musí být schovaná za NATem, byl by to celý český internet, a někde v NIXu by byl obrovský NAT, přes který bychom se teprve všichni připojovali do internetu. A to bych s tím mobilem nemohl opustit ČR. Věřte mi, že v NIXu žádný takový obří NAT, za kterým by byl schovaný celý český internet, není. No a když ty dvě konektivity bez NATu zvládá můj mobil, vaše pécéčko by to taky mohlo umět, nemyslíte?