CityCat4

DIR-632 - домашний роутер. Его положит 15 клиентов, если они все начнут с ютуба качать и во вконтактике клипы смотреть. А на 150 клиентов он разве что DHCP-сервером сможет работать. Старая тачка с обычным линухом будет куда лучше.

Никак. Соховское железо - для тех, кто без запросов, людям с головой оно противопоказано. Только перешивка.

По очень простой причине - он для этого писался :) В мире не так уж и много IP-адресов (v4, конечно же), а устройств, которым он нужен, гораздо больше. Поэтому во-первых:
- провайдер Вам выдаст максимум 1 белый IP (все остальное - за деньги)
- во внутренней сети у Вас будут адреса типа 192.168.1.1

Далее происходит что:
- устройство 192.168.1.1 отправляет пакет ... ну например на 77.88.55.66 (такой адрес есть, это Яндекс :) )
- роутер, который подключен к провайдеру, заменяет в пакете адрес источника на выданный провайдером белый IP и запоминает это
- пакет, в котором адрес источника - белый IP провайдера, доходит до яндекса, яндекс посылает ответ, пакет возвращается на роутер
- роутер, помня, что и где он менял, меняет в полученном пакете адрес назначения на 192.168.1.1 и отправляет пакет на устройство.

Получить доступ до 192.168.1.1 из внешней сети невозможно никак, потому что любой роутер такие пакеты просто обрезает, хотя иногда провайдеры нарушают RFC и устраивают "полосатый" интернет в своей локалке, когда 192.168.1.1 из одной сети может получить доступ скажем к 172.16.1.1 в другой сети

Нет. Только прокси. И то в случае если юзера не используют анонимайзеры или VPN. Отчасти спасет установка собственного DNS - опять же до первого анонимайзера/VPN.

Может быть и можно, только зачем? Если только из любви к починке - реанимировать девайс, который новый стоит тысячу рублей...

Есть специальные шкафчики на стену любых размеров с металлическими и стеклянными дверцами и замками с ключом. Естественно, они должны не стоять на столе, а висеть под потолком так чтобы допрыгнуть было нельзя. Ну и безусловно оставить дефолтную сетку - это пять! Убивать надо за такое...

TP-Link - "экономичное" железо, оно рассчитано на неприятазтельных пользователей, не знающих что такое "сертификат". Соответственно, роутер просто не поддерживает аутентификацию по сертификатам. И все. Для использования сертификата нужен другой роутер.

Микротик однозначно. SNMP есть. Мониторинг есть. Файрволл - линуховый iptables, слегка расширенный, можно использовать все линуховые схемы для прохождения пакетов. Правда, без знания как пакеты идут через iptables все равно микротиковский файрволл освоить будет трудновато.

Что же до pfSense, то хрен редьки не слаще - он основан на FreeBSD и pf. Человек, не рубящий в линухе, вряд ли справится с FreeBSD :-)

На таком, простите, s/г.../экономичном варианте? Никак. DIR-620 - это простяцкое тупое решение для тех, кому нужен роутер, но нет умения или желания его настраивать - тык-мык в вебморде и все. Чтобы убедить сайт, что ты не с России, а откуда-нибудь с Островов Зеленого Мыса нужно иметь роутер, во-первых, умеющий самостоятельно поддерживать VPN, а во-вторых, умеющий выделить запрос к сайту и направить его через этот VPN. D-Link-и насколько я знаю, даже самые продвинутые, такого не умеют, нужна железка типа микротика.

Роутер и прокси - вещь слабо совместимая (аппаратный роутер имеется в виду, конечно же). Прокси - это многогигабайтный кэш и ооооочень многогигабайтные журналы. Используйте Synology - там есть и VPN и прокси.