spróbuj może tak dopisać :

config switch_vlan
        option device 'switch0'
        option vlan '20'
        option ports '1t 0t'

config switch_vlan
        option device 'switch0'
        option vlan '40'
        option ports '1t 0t'

config switch_vlan
        option device 'switch0'
        option vlan '60'
        option ports '1t 0t'

config switch_vlan
        option device 'switch0'
        option vlan '65'
        option ports '1t 0t'

dostaniesz tagowane interfejsy, które będą na porcie "1" switcha czyli na WAN-ie

A może celuj w Wireguard zamiast w OVPN?

Ja bym sprawdził jak się przedstawia telefon w systemie.
cat /sys/kernel/debug/usb/devices

Raczej na pewno będzie potrzebny pakiet usb-modeswitch

Może kmod-usb-net-cdc-ether a może coś innego z puli kmod-usb-net.....cdc-mbim, cdc-ncm. hso, ipheth, qmi-wwan, rndis, itd aż do skutku a potem odpowiednie pakiety uqmi, its w zależności od potrzeb

PS. USB 3.0 w openwrt podobno nie działa tak szybko jak powinno

Rzeczywiście wyniki do poprawki ponieważ w LANie to powinno iść na maksa.
Masz tak słabo być może dlatego, że iperf3 uruchomiłeś na tym R2S, a normalnie to oba końce iperf3 powinny być na innych hostach a testowany router ma tylko przerzucać pakiety, bo taka jest jego rola.

Oczywiście jest wyjątek od reguły gdy router jest bardzo mocny i generowanie pakietów iperf3 z prędkością 1 Gbps zajmuje mu max 3-5% "ogólnego" CPU to wtedy można uruchamiać serwer iperf3 na takim routerze.
Inaczej wyniki masz przekłamane bo obciążasz router zadaniami które normalnie nie należą do niego.

Końce iperf3 to też nie mogą być jakieś padaki bo jeżeli zamkniesz CPU na serwerze przy 600 Mbps to router przerzuci tylko 600 bo tyle dostanie na łączu.
Standardowo to powinieneś ustawić np. tak
PC <-> NanoPi <-> PC

A Ty masz:
Laptop<->NanoPI<->Główny router z "iperf3 -s"

No chyba że ten Główny router to bardzo dobra maszyna i posiada zapas mocy bez względu na uruchomione zadania.

No to skąd było takie pytanie, skoro masz zablokowany dostęp...
Raczej powinien być wykrzyknik (!) wtedy nie byłoby tematu.
? Lub ! .... a tak wiele zmienia

Czyli tak jak pisał Cezary, przy zachowaniu obecnego stanu rzeczy, pozostaje każdemu hostowi w sieci ustawiać routing do ZT na każdym urządzeniu osobno przez hosta 1.2

Albo jeżeli można ze względu na rodzaj przyłącza, to dokup sobie drugi router i podmień ten operatora na zakupiony.
Nawet nie musiałbyś szukać routera pod Openwrt, bo soft producenta przewiduje dodawanie tras czy to w Tp-linkach czy w Asusach czy innych.

Zadaj sobie pytania:
1. Czy wiesz jaki rodzaj i typ połączenia dochodzi do portu WAN routera ISP?
2. Jak bardzo Ci zależy na tym tunelu?
3. Ile możesz przeznaczyć kasy na kolejny router?

Jeżeli na pyt 1. nie znasz odpowiedzi to jest jeszcze jedno wyjście bo możesz kupić repeater i na routerze Openwrt włączyć serwer DHCP, zrobić drugi NAT i podłączyć repeater do Openwrt w celu zwiększenia zasięgu Wifi będąc w tej samej domenie rozgłoszeniowej.
Router ISP niech sobie rozgłasza własną sieć z własną adresacją i osobiście traktowałbym ją jako sieć gościnną z wyjściem do Neta, a za routerem Openwrt + Repeaterem miałbym własną sieć na 2 kondygnacje.
Minus: dodatkowe urządzenie które trzeba kupić i potem "karmić"
Coś za coś...

jak się wpisze do /etc/config/firewall takie coś{

config redirect
    option name 'DNS'
    option src 'lan'
    option proto 'udp'
    option src_dport '53'
    option dest_port '53'
    option dest_ip '192.168.150.168'
    option target 'DNAT'

to otrzymamy takie coś

# fw4 print | grep 'chain dstnat_lan' -A 3
    chain dstnat_lan {
        meta nfproto ipv4 udp dport 53 counter dnat 192.168.150.168:53 comment "!fw4: DNS"
    }

EDIT:
takie też wchodzi z interfejsem:

# nft insert rule inet fw4 dstnat_lan iifname "lan100" meta nfproto ipv4 udp dport 53 counter dnat to 192.168.150.168:53

# nft list ruleset | grep 'chain dstnat_lan' -A 3
chain dstnat_lan {
        iifname "lan100" meta nfproto ipv4 udp dport 53 counter packets 0 bytes 0 dnat ip to 192.168.150.168:53
}
 

EDIT2:
w sumie to nie trzeba dodawać reguły z interfejsem ponieważ interfejsy są w łańcuchu wyżej "dstnat", a ten łańcuch "dstnat_lan" jest kolejnym skokiem od swojego "rodzica"

można sobie nadawać swoje łańcuchy z własnymi nazwami, niekoniecznie tymi z openwrt ważne żeby odpowiednio je zaczepić:
type nat hook prerouting priority dstnat

U mnie na najnowszym buildzie od Cezarego, tym razem oprócz testów iperf3 robiony był test za pomocą FTP-a.
Wyniki w FTP są w MB/s a więc iperf3 też został puszczany z -f M w celu bardziej intuicyjnego porównania obu wartości.

W sprawie PPPoE z flow_offload_hw były różne głosy że działa, nie działa itd.
W sumie to nie zamyka Gigabita, ponieważ DOWN/UP - 111/100 MB/s po FTP to tylko 888/800 Mbps a więc trochę brakuje, ale jeszcze nie ma tragedii.
Parametry własnego serwera PPPoE można ustawiać w 3 plikach:
/etc/config/pppoe
/etc/ppp/pppoe-server-options
/etc/ppp/chap-secrets

ja jechałem na domyślnych czyli:  chap, mru 1492, mtu 1492, mss 1468
login 30 znakowy, duże i małe litery, cyfry oraz znaki specjalne
hasło 19 znakowe, duże i małe litery, cyfry oraz znaki specjalne

Można by zadać pytania:
1. Jak ustawić własny serwer PPPoE żeby wycisnąć Gigabita ?
2. Skoro przez dostawcę ISP na tym routerze podobno nie można zbliżyć się do Gigabita, to jak ustawić własny serwer PPPoE żeby idealnie odwzorował serwery ISP ?

https://pastebin.com/0tf5n78E

@mgrlukasz
@krisux

Tak, zgadza się, wireguard tak obciąża CPU, że praktycznie nie ma znaczenia czy włączymy flow_offloading czy nie włączymy, ponieważ pakietów leci tak mało, że obciążenie NAT-em nie ma znaczenia.

Swoją drogą to iperf3 pokazywał u mnie różne wartości max. 116 Mbps czyli około max 14,5 MBps, natomiast ftp zweryfikował te zapędy na około 10 MBps czyli jakby nie patrzeć iperf3 zawyżył wynik o 40%

... bo do każdego sprzętu trzeba podejść indywidualnie.
Mając ogólny zasób wiedzy o sprawach sprzętowych, organizacji Flasha itd trzeba tą wiedzę dostosować do modelu.
Czasem musi to być wyspecjalizowana wiedza z elektroniki oraz informatyki. Nie zawsze wystarczy wiedza z informatyki.

Sama kompilacja dowolnej architektury przebiega podobnie, a więc poradników jest sporo, ponieważ komendy wklepuje się takie jakie są, bo innych nie ma. I to jest ta różnica, czemu tam nie ma poradników a tu są.

@bulgar71
Z tego co zrozumiałem chciałeś dynamicznie dopisywać atakujące adresy do odpowiednich tablic żeby potem dawać im czasowego bana.
To co przykładowo można zrealizować na tablicach nftables w Openwrt
Komputer ofiara ma adres 192.168.22.1 i otwarte porty http (80) oraz ssh (22)
Komputer będzie blokował atakujący adres IP po wykryciu ataków na port 80.

Set uzupełnił się dynamicznie.
Przy tych regułach zablokowany został "cały" atakujący adres 192.168.22.2 tzn że z tego adresu nie mogłem wejść do 192.168.22.1po innym udostępnionym porcie np. po ssh (port 22)

Dalej to już kwestia własnych zachcianek

tu masz ipset-y
https://openwrt.org/docs/guide-user/fir … nfig_ipset

R6220 po włączeniu flow_offloading_hw zamyka Gigabita czyli tyle, ile pozwala mu port WAN, to co tu dalej pisać.

Jakbyś pytał o szyfrowanie w tunelach to może zobaczylibyśmy ciekawe zróżnicowane wyniki.
Na R6220 wireguard wyciąga około 185 Mbps.