Alexey Dmitriev

Wireguard именно таким блокируется РКН - "соединение есть, а интернета нет"

NAT не позволяет обеспечить подключение К ресурсам, а значит что? Нужно инициировать какое-либо подключение ОТ ресурса в интернет и потом уже организовывать доступ к сайтам внутри.
Это может быть VPN, reverse proxy и т.п. - зависит от условий.

Любой вариант подходит.
1 - три интерфейса из разных сетей на zabbix сервере.
2 - связность сетей и отдельные zabbix прокси в каждой подсети.
3 - отдельные zabbix серверы в каждой подсети.

Для наличия - winmtr

Нужно добавить DNS forwarder на любой публичный DNS сервер.

При такой формулировке вопроса - только поставить перед ними внешний балансировщик

Ваши настройки никак не влияяют на системный пинг куда-бы то ни было.
Nekobox лишь дает вам возможность использовать свой socks прокси сервер, перенаправляющий тррафик в канал Xray.
Пинг никак волшебным образов не впрыгнет в этот прокси.

Развернуть на сервере с VPN adguard home или pihole.
Включить и настроить в них блокировку рекламы.
Передавать адрес VPN сервера как адрес DNS сервера для VPN подключений.

1) Да, если по пути VPN не будет заблокирован.
2) Да, с учетом того, что роутер должен уметь подключиться к Интернету в другой стране - а это может быть Ethernet, WIFI и т.п.
3) Вероятнее всего нет.

Поднять 2 прокси на разных портах с разными выходящими (outgoing) интерфейсами.
И описывать в pac файле разные URL для разных прокси.

Обращайтесь либо по конкретным адресам интерфейсов, либо создайте дополнительное DNS имя с ip адресом нужного интерфейса. При прямом подключении и правильной настройке сети - никакая маршрутизация не нужна - оба сервера в одной L2 сети.

Виден трафик в одном широковещательном домене - еслит провайдер и сосед входит у вас в него-они видят, если стоит роутер и домен отдельный - не видят.

Можно не вешать NPM на 80 и 81 порты.
Можно не публиковать порты NPM и тогда они будут заниматься только на ip контейнера, а затем сделать на них NAT, или пустить через reverse proxy.

Сделать роутер 2 роутером, подключив его WAN портом к коммутатору и выделив камеру в отдельную подсеть.

Ничего.

Нужен выданный провайдером публичный ip адрес, желательно статический и маршрутизатор с VPN сервером на борту.
Либо выданный провайдером публичный ip адрес, желательно статический и развернуть любой VPN сервер на компьютере, если нет маршрутизатора.

Изящное решение - это не детектируемый РКН VPN между VPS и домашней инфраструктурой и webdav протокол (SSL и HTTPS) в качестве транспорта и на современных ОС. Windows 10 поддерживает webdav из коробки, для других ОС есть клиенты.
Давать доступ по SMB, да еще к устаревшей ОС, да еще и возможно всему миру идея так себе.
Отваливаться на клиенте сеть из-за блокировок не может, а вот отваливаться при кривых настройках ВПН - более вероятный сценарий. Например включенный default gateway в VPN дает такой эффект.