Alexey Dmitriev

Нужно добавить DNS forwarder на любой публичный DNS сервер.

При такой формулировке вопроса - только поставить перед ними внешний балансировщик

Ваши настройки никак не влияяют на системный пинг куда-бы то ни было.
Nekobox лишь дает вам возможность использовать свой socks прокси сервер, перенаправляющий тррафик в канал Xray.
Пинг никак волшебным образов не впрыгнет в этот прокси.

Развернуть на сервере с VPN adguard home или pihole.
Включить и настроить в них блокировку рекламы.
Передавать адрес VPN сервера как адрес DNS сервера для VPN подключений.

1) Да, если по пути VPN не будет заблокирован.
2) Да, с учетом того, что роутер должен уметь подключиться к Интернету в другой стране - а это может быть Ethernet, WIFI и т.п.
3) Вероятнее всего нет.

Поднять 2 прокси на разных портах с разными выходящими (outgoing) интерфейсами.
И описывать в pac файле разные URL для разных прокси.

Обращайтесь либо по конкретным адресам интерфейсов, либо создайте дополнительное DNS имя с ip адресом нужного интерфейса. При прямом подключении и правильной настройке сети - никакая маршрутизация не нужна - оба сервера в одной L2 сети.

Виден трафик в одном широковещательном домене - еслит провайдер и сосед входит у вас в него-они видят, если стоит роутер и домен отдельный - не видят.

Можно не вешать NPM на 80 и 81 порты.
Можно не публиковать порты NPM и тогда они будут заниматься только на ip контейнера, а затем сделать на них NAT, или пустить через reverse proxy.

Сделать роутер 2 роутером, подключив его WAN портом к коммутатору и выделив камеру в отдельную подсеть.

Ничего.

Нужен выданный провайдером публичный ip адрес, желательно статический и маршрутизатор с VPN сервером на борту.
Либо выданный провайдером публичный ip адрес, желательно статический и развернуть любой VPN сервер на компьютере, если нет маршрутизатора.

Изящное решение - это не детектируемый РКН VPN между VPS и домашней инфраструктурой и webdav протокол (SSL и HTTPS) в качестве транспорта и на современных ОС. Windows 10 поддерживает webdav из коробки, для других ОС есть клиенты.
Давать доступ по SMB, да еще к устаревшей ОС, да еще и возможно всему миру идея так себе.
Отваливаться на клиенте сеть из-за блокировок не может, а вот отваливаться при кривых настройках ВПН - более вероятный сценарий. Например включенный default gateway в VPN дает такой эффект.

Вам нужно открыть исходящие соединения с порта ssh (по умолчанию tcp 22) и поставить политику OUTPUT в DROP
Либо просто открыть исходящие соединения с порта ssh (по умолчанию tcp 22) а вторым правилом сделать -A OUTPUT -j DROP

Настраивайте все приложения на работу через ваш socks proxy и торрент клиенты и putty это умеют.
Хотите весь трафик - настройте на VPS любой VPN сервер.