Привет! Хочу в домашней сети настроить всё так, чтобы отдельные клиенты трогать никогда не приходилось, но трафик в итоге ходил оптимально на уровне роутера:

1. Если блокировка со стороны зарубежных серверов, тогда трафик идёт через vless reality на зарубежный VPS
2. Если блокировка изнутри, тогда трафик модифицируется bol-van/zapret через nfqws
3. Иначе трафик чистый

На OpenWRT-роутере установлены и настроены zapret (nfqws) и sing-box.
sing-box запускает inbounds tun, а в route/rules есть правила которые часть трафика перенаправляют в outbounds/vless.

По отдельности оба сервиса работают. Вместе - нет: перестаёт давать результат zapret, хотя он остаётся запущенным.

В сетях понимаю мало, но видимо пришла пора разобраться.
Прошу совету у знающих - вообще возможно ли достичь желаемого?
И если да, то как это принципиально должно работать?

Дополнение: sing-box настраивал по этой статье Настройка sing-box (openwrt) – Telegraph

Привет!
У тебя получилось подружить оба сервиса?

Прогресс нулевой и времени заниматься этим к сожалению сейчас нет. Но если что-то сделаю, обязательно напишу и здесь.

На всякий случай оставлю здесь релевантные темы, может кого-то наведёт на мысль.
И было бы хорошо, если бы он этой мыслью поделился, потому что я пока даже не понимаю в каком направлении двигаться.

Вобщем openvpn тоже работает с Masquarde -eth0, больше ничего не надо.
Для сокрытия openvpn я когда-то использовал stunnel в режиме точка-точка.

это делается либо через policy routing на linux по IP адресам,
либо через высокоуровневые прокси-решения типа xray - по доменам

Роутер с OpenWRT. У меня установлен пакет pbr, добавлен интерфейс Wireguard.
Согласно правилам pbr траффик на определенные в списке домены идет через
интерфейс Wireguard, остальной траффик - напрямую через Wan

https://openwrt.org/docs/guide-user/network/routing/pbr

Мне на днях должен роутер прийти, буду тоже ковыряться. Хотел сделать то же самое что и вы, может быть скорее zapret с фоллбеком на прокси. Есть ощущение, что как будто проблема должна решиться добавлением сетевого интерфейса прокладки, хотя опыта у меня тоже немного.

По поводу части с vless realty, у меня установлен yichya/luci-app-xray: (Almost) full feature Xray client for OpenWrt, добавлен сервер на первой вкладке, все остальное отключено, inbounds и lan host access все пустое должно быть, во вкладке dns убирается все что предзаполнено и настраиваются чисто основной и дополнительный днс, во вкладке fakedns все поля пустые, внизу создаёшь правила по сатам, либо через geosite если уже есть профиль в v2ray-geosite, либо domain как например этот форум, во вкладке outbound routing опять же все предустановленное удаляешь, Default Ports Policy bypass ставишь и указываешь порты, у меня тсп 80, 443, 853, удп 53 и 443, все остальное можно не трогать. Один прикол есть, при добавлении сервака в [vless][reality] Server Name должен быть домен сайта в одном виде, в панельке например (3)x-ui можно указать с www и без, но должно быть что-то одно, с двумя указанными в настройке клиента работать не будет. Так же можно свой список geosite собрать по инструкции из репозитория там же. И так и не понял почему, без отключения клиента, opkg в openwrt не может нормально к своим репозиториям подключится соответственно отключать на время обновления или установки пакетов.

У меня вроде получилось сделать то, что ты хочешь. У самого Keenetic Giga-1012.

Установлен XKeen + nfqws zapret

запрет настраивал по этой инструкции: GitHub - Anonym-tsk/nfqws-keenetic