см. выше
У меня вроде все заработало, но еще тестирую
можно в спойлере поподробнее? спасибо
Судя по дампу, последовательность обратная. Сначала STUN-запросы на сервера FB (здесь на них никто не отвечат), потом STUN непосредственно на локальный IP-адрес. До этого локального взаимодействия не увидел.
Не понимаю что нужно роутить в впн, не хочет в режиме сплит-впн работать ватсап, вроде все ип роутятся а толку нет, соединение зависает и не идет, никто никого не слышит
Пробовал блокировать STUN, заменял ответы на сервер гугла, не помогает 
У обоих корреспондентов настроено раздельное туннелирование? При полном тунеллировании работает связь?
Да, раздельное туннелирование на обоих клиентах
При этом на этом же впн сервере, через полный впн подключение проходит без проблем
Клиенты на андроиде, подключение через OpenVPN Connect
По ходу как то ломает мобильное подключение, если вай-фай включен и мобильное, то не подключает ватсап, как вырубаю мобилу - все ок
На мобильном есть ipv6, в вай-фай нет
Тестировал на роботе https://www.call2whats.app/live-demo-whatsapp-to-sip
Все понятно, точнее не очень, ватсап игнорирует роуты для udp трафика, в роуты идет tcp а udp нет
Udp понимает только маршруты типа 0.0.0.0/0 или 0.0.0.0/1
С раздельным туннелированием ведет себя так, трафик tcp идет с интерфейса впн клиента, а трафик на udp идет с локального интерфейса минуя впн
роуты прописаны на подсети
31.13.64.0/18
57.144.0.0/14
157.240.0.0/16
UPD клиент впн поднят локально
видимо это из той же серии c - why raw udp packet does not follow routing rules - Stack Overflow
Некто анонимно прислал мне такое. Как по мне, на уязвимость не тянет, это ожидаемое поведение, но оставлю тут.
Сетап: настроен app split tun, через VPN бегает клиент вацапа, а браузер - нет.
В вацапе вам или вы запостили ссылку на ролик в ВК. Ваш клиент вацапа через туннель идёт по ссылке, чтобы сделать превьюшку. VK видит IP-адрес VPN-сервера.
Дальше вы переходите по ссылке, она открывается в браузере, который бегает уже в обход VPN. Теперь VK теоретически может сопоставить два адреса.
В настройках оф. клиента создание превьюшек отключаемо, но по умолчанию включено.
От себя добавлю, что эта проблема давно решена в серьёзных инструментах типа Whonix или Tails - там весь трафик идёт через туннель, чтобы не париться над тем, чего там утечёт в обход.
Ну такого даже в туркменистане нет, хотя могли бы сделать, большинство местных сайтов там нужно добавлять в исключения для впн иначе они не будут работать вообще