Dmitry Tallmange

Любой порядок: хоть EoIP внутри IPSec, хоть IPSec внутри EoIP. Разницы в производительности нет. Это будет работать одинаково медленно.

Имеем физический интерфейс etherX.
В этот физический интерфейс прилетает как тегированный, так и нетегированный трафик.
Для обработки тегированного создаем дочерние VLAN интерфейсы с указанием необходимой метки.
Нетегированный трафик попадет в интерфейс etherX; тегированный - в соответствующий VLAN интерфейс.

Шаг за шагом, железка за железкой. Проверить ВСЕ возможные узлы, которые отвечают за передачу трафика. Любой свитч, роутер, коммутатор. Наблюдение с грустью за пингами проблему не решит.

Где достать бесплатный tls-сертификат?

Создайте свой! Одна команда и он на вашем жестком диске лежит (вместе с ключом):

openssl req -newkey rsa:2048 -nodes -keyout key.pem -x509 -days 365 -out certificate.pem

Отправить соединение на другой удаленный хост не выйдет. Единственный вариант натить на адрес, скажем, в впн: например поднять IP поверх и слать там. Если вы не хотите использовать никакие впн, то проблема неразрешима.

Если я верно понял текущую картину, то решение довольно простое: трафик между двумя сегментами сети, даже в одной логической подсети, должен проходить через устройство L3, и путь этот должен быть исключительно единственным.

Есть коммутатор, в который подключены все клиенты - Switch1.
Есть коммутатор, в который подключены все сервера - Switch2.

Есть абстрактный микротик с двумя портами: Lan1, Lan2.

Объединеяем порты Lan1 + Lan2 в Bridge1.
На Bridge1 вешаем адрес 192.168.195.1.
Switch1 => Lan1. Switch2 => Lan2.

И все. Весь трафик между клиентами и серверами проходит через Bridge1. Любые правила для фильтрации и ограничений.

Прописать в офисе 2 маршруты до офиса 3, и наоборот.

Такая проблема обычно возникает при входе в пассивный режим. Либо попробуйте активный, либо проверьте что весь диапазон портов для пассивного режима открыт.

Packet sniffer

net.ifnames=0

Ставите прокси, например squid. Закрываете доступ в интернет напрямую, настраиваете браузеры всех пользователей на работу через прокси. Крутите запрещающие/ограничивающие правила как душе угодно.

Крайне сбивчиво и непоследовательно. Что говорит verbose самбы?

/ip firewall connection tracking, подробнее

DHT - всего-навсего один из частных случаев Overlay Network. Строго говоря, это любая сеть, построенная «поверх» другой (отсюда и overlay). Самый доступный к пониманию частный случай - VPN.

PC 192.168.88.252 не пингует PC 10.0.150.163 (но wireshark показывает что запросы на 163 приходят)

Если wireshark показывает, что запросы приходят - значит пакеты доходят. Другое дело, что 10.0.150.163, возможно, не хочет на них отвечать?) Например, в виндах 7/8/10 по умолчанию хост не будет отвечать на входящий icmp запрос.

При установке соединения любым приложением система выбирает любой свободный порт. Поэтому "закрыть" исходящие порты означает перекрыть доступ приложениям куда-либо в интернет. Если же ни одному приложению на вашем сервере (что малореально) нет необходимости ходить куда-то в интернеты - смело закрывайте.