Shadowsocks

Контейнеры могут помочь, когда их запустят. Я не эксперт, но видел, как другие используют WireGuard в качестве VPN поверх поддержки SOCKS5 в RouterOS для этого. Для работы SOCKS5 нужна версия v7.2rcX. Смотрите: http://forum.mikrotik.com/t/socks5-not-working-in-routeros7/153414/1

Также есть способ туннелировать Wireguard (или другой VPN) с помощью Xray-core из Project X. Он поддерживает разные обфускационные протоколы, включая Shadowsocks, но сейчас более популярны другие, такие как VLESS+REALITY (XTLS), которые более продвинуты и безопасны. Xray-core можно запускать в контейнере и перенаправлять порты с помощью inbound-протокола Dokodemo-Door. Я настроил Xray-core для PoC в контейнере ROS (с этим образом напрямую из хаба), чтобы обфусцировать ROS Wireguard для моего кастомного BTH VPN, который нужен для подключения к домашнему LAN и для выхода в интернет через домашний WAN из удалённого места. Xray-core в контейнере передает порт на <router_ip>:<wireguard_port>. Настройка Wireguard и правила в ROS стандартные, как для любого другого кастомного BTH VPN. Настройка похожа на пример отсюда. Такой тип туннелирования BTH VPN не работает на мобильных ОС (Android, iOS), потому что там нельзя одновременно использовать несколько VPN: приложение Xray поднимает VPN на устройстве, а когда приложение Wireguard пытается подключиться, оно отключает уже активный VPN, что закрывает и туннелированный порт на localhost, созданный приложением Xray. Но, например, у меня на MacOS это работает без проблем, используя Xray из MacPorts и официальное приложение WireGuard из App Store. Для связи сайт-сайт между роутерами это тоже возможно настроить: на каждом ROS-сайте можно запускать Xray-core в контейнере и перенаправлять порт на локальный порт Wireguard. Wireguard при этом настраивается как обычно для VPN сайт-сайт, в зависимости от потребностей, только с немного меньшим MTU из-за туннеля.

Сейчас это можно запускать в ROS-контейнерах, раньше у меня была настроена Shadowsocks (реализация shadowsocks-libev) в контейнере, прежде чем я перешёл на Xray. Краткое описание программ и протоколов для обхода цензуры: https://hostry.com/blog/evolution-of-internet-censorship-circumvention-tools-shadowsocks-v2ray-xray-and-their-protocols-vmess-vless-xtls/?d=1

Xray может работать как сервер или клиент из своего исполняемого файла в контейнере, разница в том, как он настроен, подход к конфигурации пиров, похожий на WG, но гораздо более гибкий. Вот пример конфигурации сервера и клиента для Xray с туннелем WG. В данном случае Xray на стороне клиента не запущен в контейнере, но мог бы быть, конфигурация должна находиться по такому же пути, как и для сервера, описанного в этом посте. Не знаю, может, временно не работает, там ничего технического не было, просто краткое сравнение и эволюция инструментов и протоколов обхода цензуры. Если нужен прозрачный доступ и маршрутизация на стороне клиента (без необходимости вручную задавать прокси Xray в браузере или ОС), то самый простой способ — создать VPN (например, WG) туннель внутри Xray, но в этом случае нужен сервер под контролем (туннель «сайт-сайт»). Если сервер не под контролем, например, это какой-то публичный или коммерческий Xray-узел выхода, то можно настраивать маршрутизацию внутри клиентского контейнера, но это сложнее.