ens3:1 könntest Du Dir eventuell schenken, wenn Windows das auch auf dem Loopback-Interface akzeptiert. Es sollte an sich nichts ausmachen, aber das Interface hat dieselbe Broadcast-Domain wie ens3 und die private IP hat dort IMO nichts verloren. Freilich kannst Du auch das Gratis cloud VLAN dazubuchen und dessen Interface verwenden. Das ist aber nicht das Hauptthema.
Die Vorgehensweise mit ICMPv6 solltest Du überdenken. Echo request und echo reply allein genügen nicht für eine funktionierende Neighbor Discovery. https://de.wikipedia.org/wiki/Neighbor_Discovery_Protocol
Wie gesagt NDP ersetzt ARP in IPv6 und ist Voraussetzung, dass IPv6 überhaupt routen kann. Wenn Dir ip -6 n oder ip -6 n s lauter „incomplete“ Werte ausspuckt, ist das ein sicheres Indiz dafür, dass Du zuviel blockst. Neben Typ 128 und 129 sollten schon auch zumindest Typ 135 und 136 zugelassen sein. Typ 2 ist bei abweichenden MTUs unentbehrlich - ist nur die Frage, ob der Rechner auch als Router fungiert - VPN deutet darauf hin.