На древней прошивке l2p через   ppp0l2tp взлетали через /etc/config/network почему-то, снифер на стороне белого ipv4 ловил ничего, а gre на железке стоял в апе

На новой все вообще тухло но busybox старше 1.3.   Если нет опыта в кокретике, по вашему опыту лучше попытаться наследовать интерфейсы или конфигурять xl2tpd + ifup

Но ведь тогда и ответ от хоста в R2 не дойдет до хоста в R1, а в случае ната на R1 дойдет, просто хост в R2 будет думать что общается с роутером R1.

Оно то какраз работало (работает) просто мне не нужно чтобы хосты за R2 видели подсеть R1. Да и сам R1 им видеть не нужно, но это уже не критично

Изначально было как пишет @justcrazy, но побочным эффектом оказалось то, что оказывается весело наблюдать когда у гостей на ютюбчиках вместо привычной уже не замечаемой рекламы появляется какаянибудь голландская или новозеландская ))

Я-б сказал неосторожности ;)

После того как я воспользовался самым надежным в мире VPN он у меня итак гейт

У меня канал 20мбпс, боюсь для тебя это медленнее тора будет :( Да и с ipv4 я еще не до конца разобрался как оказалось, ipv6 просто рублю на корню (провайдер всеравно еще не дорос)

И всетаки как это все должно выглядеть без тунелей (видимо я реально iptables недопонимаю) На R1 действительно 3 подсети
1.Lan почти по дефолту openwrt,
2.TOR Input-reject, output accept, forward reject.
3.IoT примерно так же, просто сервер НА смотрит и в IoT и в Lan.
Костыльно это, в идеале всетаки из Lan видеть и Tor и Iot, но не наоборот. Впринципе натом думаю получилось бы, но дискуссия зашла дальше и стало интересно файрволом\роутингом осуществить😁

че это не дойдет ?

nat между серыми адресами - нецелесообразно %) и только если с другой стороны упоротый админ, который не хоччет обратный маршрут написать!

можешь нарисовать схему  ?

у меня чет голова уже кругом ))))

в каком-нибудь gliffy например

Упоротый админ там это я )) Маршрут прописан, все во все стороны ходит, но если по вашей цитате:
———-
все начинает ходить в обе стороны. Дальше на R1 заходишь в файервол и говоришь транзитный трафик запретить - все
______
Запретить транзитный трафик, то как пакет (ответ) от хоста в R2 дойдет до хоста в R1?

Ща гляну

ответный трафик считается established такие соединения по-умолчанию должны быть разрешены

это тоже на файерволе( на всякий случай )

по сути это будет разрешать пакеты в уже установленных соединениях

если из r1 в r2 полетит пакет, обратно тогда он вернется и роутер 1 пропустит такой трафик