CityCat4

Нет таких приложений. А "сторонее ПО" - это скорее всего VPN в Японию, Ю. Корею или еще куда там кроме Китая. Заведите себе VPS в данных локациях, подымите дотуда VPN, какой сможете - и ходите через него.

Микротик конечно же. Гибче не придумаешь. Но за это приходится платить повышенным порогом входа и тем, что придется думать. Нет у микротика никаких "визардов", есть фактически голая консоль, переведеная в графику - winbox. Там минимум свистелок и перделок, ты можешь сделать практически все, что угодно... если знаешь как.
Ну или доки читать. Обычному юзеру это не надо, вот и берут кинетики, асусы и даже прости-Господи Tp-Link (хотя для невзыскательного юзера он вполне годится)

но мне бы хотелось реализовать это средствами pritunl.

Хотите дальше :) Мир стремительно, вот прям со скоростью паровоза бегущего в бетонную стену, разваливается на сегменты - и Сеть, как отражение этого мира - тоже разваливается. И в этом будущем "Кванмене по-[тут вставить название языка]" тырнет будет полностью контролироваться государством.

Для прохода именно ovpn - пока работает двойной VPN - сначала на сервак в РФ, потом с него за границу. Просто потому что пока не проверяют траф из ДЦ, но не думаю, что это надолго.

Что и как делать, чтобы перевести Iskratel RT-GM-3 в режим моста?

Связаться с саппортом, пропросить перевести в режим моста, спросить логин и пароль от pptp. Не слушать тех, кто говорит, что можно перевести самому. Да, наверное можно, но провайдер, увидев несогласованное изменение, запросто откатит обратно, а если не сможет просто заблокирует - и ты сам прибежишь.

Может ли провайдер отказать?

Не знаю, может и может, только зачем ему? Ему нужно, чтобы ты бабки гнал.

Какие модели роутеров посоветуйте с учётом вводных?

Микротик. Если "не шмогла" - Кинетик

У меня RT-GM-6, перевел в режим моста сразу после монтажа, прям челу, который монтировал сказал. Чем мне сразу логин-пароль выдал и переключил на следующий день.

Соховские модели как правило не имеют никаких продвинутых настроек, за исключением кинетика и может быть некоторых асусов. Но никакой LACP не даст Вам возможность суммировать каналы провайдеров.

Приобрести роутер, которым можно было бы заменить существующий Iskratel RT-GM-3.

Mission failed. Сразу же. Провайдер никогда не позволит Вам поменять оптотерминал - у него их тысячи и все одинаковые, нахрен ему зоопарк?

Приобрести роутер, который можно было бы подключить к существующему Iskratel RT-GM-3

Вот это реальный вариант. Договариваетесь с провом о переводе терминала в режим моста (пров это сделает удаленно - вообще говоря он Вашим терминалом запросто удаленно управляет), получите логин-пароль для входа к прову, покупаете роутер, настраиваете его, вуаля.

(правильно ли я понимаю, что это называется «репитер»?).

Нет. repeat - повторить. Репитер - повторитель сигнала, расширающий зону действия другого устройства.

Каким образом можно указать для сети 10.1.1.1-100 gateway 10.0.0.1

никаким

Не являюсь специалистом в сетях, лишь экспериментирую и учусь,

Замечательно. Олиферов в зубы - и читать до посинения

Значит нельзя входить через ip c ip2 без белого ip?

Совершенно непонятно, почему ты считал что можно ;) Это вообще не твой адрес, а адрес какого-то NAT сервера, через который ты (и еще толпа таких же) выходишь в тырнет.
Адрес 10.119... - это ненастоящий адрес. Таких адресов существует неопределенное количество, но они действуют только в пределах твоей локалки.

Network: 10.10.200.3/30

Не бывает. Либо 10.10.200.0/30, либо 10.10.200.4/30. Исходя из приведенных адресов, шлюз - 10.10.200.6

А вы, конечно же первый раз заходите в данные учетки или всегда ходили в них через VPN :) Не? Правда, заходили когда-то без VPN и с тех пор ничего, кроме IP не поменялось? Ну, я Вас поздравляю - Вы посчитаны.

IP поменялся, а вот слепок браузера - нет :) Все то же самое, куки-шмуки. Какой вывод - "нас предположительно дуют" :)

Только новый профиль на новой виртуалке, работающей через VPN без утечек DNS

Возможность включать VPN клиент для конкретных MAC-адресов (что бы не гнать весь трафик через туннель)

Вот насчет этого не уверен, что вообще есть где-то в соховских роутерах. Правда, сейчас цены на них больно кусаются.
Если пров РТК и подключение по оптике - то РТК можно попросить переключить свою чудо-железину в режим моста, при котором она только обеспечивает мост оптика-eth, а все остальное делает свой роутер, который стоит за ним.

Нет, это невозможно.

Купить новый коммутатор большего обьема. Не забывать про потенциал развития - 20% портов должны быть свободны.

У микротика куча моделей на два порта.

IPSec работает как из пушки без всяких GRE. Да, от требует включения моска. Зато потом, когда все настроено, работает по принципу "включил и забыл".
Филиалов - хоть двадцать, главное, чтобы подсети у всех были свои, а то в политиках запутаешься.

Очень похоже на воплощение принципа "или ишак, или падишах" - ну то есть, затянуть настолько, чтобы сами отказались.

Реально ли это?

Скорее всего реально подкачаешь туркменской СБ навыки - было забанено 95%, станет 96% :)

Можно. Только там не должно быть Windows :)

Если роутер брался под VPN - то обратно в магазин.