Das Zweite, also VNC nicht über WireGuard und dann weiter über WireGuard.
(Die VNC-Verbindung ist nur lokal. Der VNC-Client ist Guacamole/Tomcat hinter einem Nginx. Das tut auch alles wie es soll. Eingehende Verbindung also über https, 443 ohne Wireguard).