No, no tiene sentido, te está liando. La 172.17.0.1 es una ip de una interfaz del hAP, es decir, algo local que siempre va a responder si lo llamas desde el propio equipo. Lo mismo que la 172.17.0.2, si la llamas desde el hEX.
La prueba para ver que el túnel levanta es hacer ping al lado opuesto. El decir, desde el hAP a la .2 y desde el hEX a la .1. Lo cual supongo que sigue sin funcionarte, de otra manera verías el túnel EoIP levantar de inmediato y ponerse con el flag RS.
Vamos a tratar de ver de dónde viene el problema. Activa el log del wireguard en ambos equipos, a ver qué pinta, y si nos da una pista de por dónde van los tiros: System -> Logging -> Rule (pestaña) -> (+)
Lo haces en ambos equipos y los reinicias. Una vez reiniciado, deberías ver mensajes como este:
Si ves mensajes como estos otros, es que hay algún problemas con los peers.
Con respecto al pi-hole, que veo que te preocupa: la resolución de nombres que hace el propio router lo hace con los servidores seteados en IP -> DNS. Ahí podrás ver que tienes los servidores públicos de Cloudflare en ambos equipos. El pantallazo de pi-hole sólo te afecta si vas a querer usarlo en remoto (por ejemplo, desde una conexión road warrior). En ese caso, no marques la opción que resaltas de "Allow only local requests" y pasa a seleccionar la que pone "Respond only on interface eth0"
Otra cosa que cambiaría, por mera estética, es el nombre del DDNS en el peer que representa el router de España en el hAP. Lo tienes con mayúsculas, no sé si recuerdas porque metimos el número de serie a mano. En ese peer, yo configuraría la dirección todo en minúsculas.
Saludos!
