Ein VPN, egal ob Wireguard, OpenVPN oder IKEv2/IPSec, ist ein Serverdienst. Und zum Betreiben von einem Serverdienst wird nun mal zwingend eine öffentliche IPv4-Adresse benötigt, wenn kein IPv6 vorhanden ist.
Bei VPN-Tunnels, die hochverfügbar laufen müssen, ist für mindestens 1 VPN-Endpunkt eine feste, öffentliche IPv4-Adresse einzusetzen. Kein dynamisches DNS à la DynDNS!