АртемЪ

Если стоит задача изолировать - разнесите клиентов по разным сетям.

Как грамотно выйти анонимно без логов в сеть?

Никак.
Ваш провайдер ведет логи, все другие провайдеры через которых пойдет ваш трафик тоже ведут логи.
Помешать им вести логи вы никак не сможете.

На чем, как правило, делают ВПН

Да на чем угодно.
Зависит от задач,

Как организовать авторизацию, на сертификатах или как-то иначе?

Как удобней - вам и пользователям.

И не будет проблем с большим количеством пользователей (тысячи, а то и миллионы)?

Это от вас зависит. Большое количество пользователей требует приличных ресурсов - нужно будет достаточное количество серверов и балансировка между ними.
Ну и главное трафик - вам надо покупать достаточно широкие каналы чтобы прокачать трафик ваших пользователей..

Тот, который будет слушать OpenVPN.
Вы же при настройке указываете порт - вот его и пробрасывайте.

Openvpn как включить только для одного пользователя?

Элементарно - удалить всех пользователей компьютера и оставить одного.

Программа устанавливает сетевой интерфейс и меняет правила маршрутизации компьютера - там уже не важно какие пользователи на компьютере есть и кто чем пользуется.

Не меняет ip адрес при подключении к OpenVPN, что делать?

Ну как бы и не должен меняться . IP адрес никоим образом не может измениться, из за того что вы установили соединение с каким- то сервером.

Вот если бы адрес поменялся - это было бы нечто удивительное.
Поэтому ничего не делать - все нормально.

Как проверять свой внешний IP адрес

Свой адрес вы можете посмотреть у себя на интерфейсе.
Вам похоже не свой адрес нужно проверять, а адрес с которого вы будете делать запросы к нужному ресурсу - там зачастую данные отправляются не со своего адреса, а через прокси или шлюз в сети провайдера, или VPN.

Точно узнать с какого адреса вы отправляете запросы можно изучив таблицу маршрутизации.

Вот подключился к OpenVPN доступ есть, как только отключилось или не подключалось - то нужно блокировать все соединения.

Все что нужно сделать - назначить шлюзом по умолчанию шлюз в VPN.
А до самого VPN сервера прописать маршрут.

Трафик любой программы в том числе и Squid идет либо по явно заданному маршруту если такой есть, либо идет через шлюз по умолчанию.
Если у вы не прописали маршрут для данного трафика он в любом случае пойдет через шлюз по умолчанию.

Поскольку Squid это прокси сервер, и через него ходит самый разный трафик, то вы не можете задать маршрут явно.
Значит трафик будет идти через шлюз по умолчанию.
Если этим шлюзом будет доступен через openvpn подключение значит трафик пойдет через openvpn.

Для начала нужно промаркировать интересующий вас трафик в соответствии с перечисленными вами задачами.
После чего написать маршрут для маркированного трафика.

Установил OpenVPN client, но он требует ca.cert.

Вы уверены что у заказчика вообще OpenVPN?

Где его взять ?

У того кто дал вам настройки доступа к VPN.
Либо он вам забыл его дать, либо он там нафиг не нужен.

Как локализировать проблему потери связи с openvpn сервером?

Ну если возникают проблемы - в первую очередь смотрим логи VPN, маршрутизаторов и оттуда уже танцуем дальше.

Переодически когда нагрузка на локальную сеть выростает при подключении на один из маршрутизаторов возникают проблемы с openvpn, которые проявляются в потере пакетов

В общем то учитывая что у вас клиенты подключаются по WiFi - потери пакетов в сети это вполне закономерное явление при большой нагрузке.
Поэтому я бы в первую очередь смотрел в таких случаях на беспроводной канал.

В Европе граждане защищены GDPR и никакому тащ майору ваши данные не уйдут до решения суда. Но в СНГ вроде всё совсем по другому работает.

Не смешите мои тапки. Везде одинаково работает.
Спецслужбы и те у кого есть деньги и связи получат данные тогда, когда нужно, если есть физическая возможность. Без всяких решений суда.

1)Разумеется получает, А вот зашифрован или нет - неизвестно, кто же знает шифруете ли вы его.
2)Может если захочет.
3)Что вы пользуетесь интернетом. Ему в принципе пофиг что там вы делаете и как, лишь бы ему не мешали работать и деньги зарабатывать.

В какую сторону нужно копать, чтобы сети были видны в обе стороны?

Маршруты прописать.

Следовательно перейдем к эпилогу, как подключиться к впн серверу использую тор-прокси?

Вы все сделали правильно - сами же сказали подключение проходит успешно. Задача выполнена.

но траффик в виртуальную сеть не хочет идти

Логично. С чего ему идти? В сетях в том числе и виртуальных трафик передается по протоколам TCP/IP - нужен маршрут в нужную сеть и трафик пойдет.
Вы подключаетесь к сети по протоколу SOCKS это специализированный протокол для прозрачной персылки трафика через прокси и маршрутов там никаких нет и быть не может.

Непонятно с чего бы провайдеру блокировать тоннель - никогда с таким не сталкивался, скорее всего просто технические проблемы.

А так - посмотрите в сторону SoftEther их фирменный протокол работает через SSL по стандартному порту - в общем обычный https трафик.

Да и вообще - чем вам SSH не угодил? Вместо VPN сервера поставьте SSH сервер, и нехай эти убунты по SSH к нему коннектятся. Тот же VPN по сути.

Ну клиент, то не знает какой там у вас сейчас канал основной, а какой резервный.
Надо бы подсказать.
Как вариант - DNS.
Или просто публиковать где-нибудь в интернете актуальный адрес.

keepalive ovpn

Ставите dnsmasq - на убунту, или на роутер с openwrt.
Загружаете ему в конфиг список доменов например из адблока, и прочих подобных сервисов.
Пишите скрипт который регулярно будет обновлять эти списки.
Ну и назначаете его DNS сервером в вашей сети - на все рекламные домены он будет резольвить адрес 127.0.0.1
Тут вот добрые люди делали в докере - https://github.com/DmitriyLyalyuev/dnsmasq-no-ads

В Hosts тоже можно, это проще, но вот как будет вести себя компьютер у которого в hosts более 100 тысяч записей - мне неведомо, и проверять нет желания, хотя попробовать можно.