Mag sein, dass ich es noch nicht durchschaut habe: Wofür soll das (S)NAT auf der UTM gut sein?
Du möchtest doch aus dem VPN (mit ssh) in das private Netz, mit dem die drei VMs mit einer Netzwerkkarte verbunden sind. Das VPN terminiert auf VM2. Was soll das SNAT auf einer der anderen VPNs bringen?
Und mit dem Absatz "Gateway Route" sorgst Du bei mir nicht nur für Verwirrung, sondern änderst auch die Spielregeln. Sollen die Hosts aus dem VPN über die UTM ins Internet?