你为啥要用代理啊？ nat 可能更方便。
nat 的话直接
iptables -t nat -A POSTROUTING -o eth2 -i eth0 -j SNAT --to 58.49.223.15
再加一条类似的
就得了。
因为你新建对外连接的 tcp 的时候，和你连入的 ip 无关，而是要通过路由表选择 srcip 的。
如果你的代理软件能设置 srcip 或者 fwmark ，就设置。
如果不能，考虑 netns 解决所有问题。
注意 rpfilter 。

运营商直接把用户自己改的桥接改回路由不是欠投诉吗……
应该有点门槛。如果不知道自己在做什么，或者单纯为了网速，就不要改。

多个 ip 多条路
特别是往境外
当然，多出来的路也不一定好走
而且还有一些地方 icmpv6type2 的问题还没解决好的
除非明确知道自己在干什么，否则不建议普通上网使用
可以考虑不开 radvd ，只给下载机 /nas/路由器静态分配 v6 地址+snpt

看起来像是中间人 RST 攻击，但不一定是运营商。
(a) 中间人是因为，你后续收到了来自真正服务器的正确 ACK （ 188 ）。
(b) 说不一定是运营商是因为，后续的 ACK 和异常的 RST 间隔很小，只有 1ms 。也有可能是网站方面配置不当。

可以查看数据包的 TTL ，通常中间注入的数据包和普通数据包 TTL 不同。
至于 tcping 的时间，从抓包的结果来看，rtt 就是 10ms 左右。
至于本地代理，不太相信本地代理需要 10ms 才能建立 tcp 握手，基本排除。

@geekvcn zerotier 不也是 udp 吗？只是 hysteria 有自己的拥塞控制而已。多线程也是一定程度上缓解了丢包的问题，tcp 换用 bbr 呢，是不是可以有提升？

就是哪儿丢包吧。有点玄乎了。
在这种情况下，传输速率和 tcp 还是 udp 无关，和拥塞控制有关。

不是很明白具体要做什么
如果只是某个 ip 要实现 ddns 但是不方便配置的话
随便写个对端地址，比如 100.64.11.22:12345
然后整个脚本监控域名变化并修改 output 串的 dnat 规则。
必要时清理 conntrack 。

mtu 设置 1280 试试能不能通，如果可以就找一个合适的数字。

按理说 ip6tnl 上配置公网还是私网没有任何区别才对

v6 单栈？想多了。
10 年内不可能。

都能接同一个光猫了，为啥不插个网线单独配个口互联呢……

双栈？
如果是 ipv6 的话可能会出现这个问题
因为 ipv6 在超出 mtu 以后不会像 ipv4 一样拆包重传，而是回一个 toobig 给发送方
如果发送方（网站）配置不合理（特别是负载均衡配置不合理）不能正确转发 /处理 toobig
同时你的运营商没有做 mssfix，就可能出现这个问题
去年让我们公司改了，专门给阿里云反馈，那边也改了，看来百度还没改，或者又弄坏了。

========

（去年）某天早上发现我家宽带没给我的宽带上 v6 设置 mss
这样我出去的 mss=1440 （ MTU=1500 ）
按理说 PPPoE 的话 mss=1432 （ MTU=1492 ）才是对的

结果就是，发送到服务端的 SYN 上 MSS=1440，然后 LVS 转给 realserver
rs 按照 MSS=1440 回包，但是到了 PPPoE 的局端设备太肥了过不去
发送 ICMPv6 TOO BIG （ Type=2 ）给 lvs
但是 lvs 没有理会这个东西
所以 rs 是不知情的，继续按照 MSS=1440 发，被丢弃

如果 IPv6 没通，没收到 SYN/ACK，是无所谓的，很多客户端包括浏览器会自动尝试 IPv4，但是这里 TCP@IPv6 确实恋上了，那么最终结果就
只能是，届不到，届不到，无法传达的数据包