на счёт tproxy ничего сказать не могу, но можно поднять wireguard между впсками:
на входной впс (ру впс) конфиг такой
[Interface]
Address = 10.5.0.2/24
PrivateKey = yKXgHJTLcbNR/1Ffdj0Q8bytWfKqvhhT6wgdOAF0UkA=
MTU=1440
PostUp=sysctl -w net.ipv4.ip_forward=1
#подстройка MSS из-за различий MTU
PostUp=iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
PostDown=iptables -t mangle -D FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
#проброс порта на европу впс через туннель без masquerade
PostUp=iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 10.5.0.1:80
PostDown=iptables -t nat -D PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 10.5.0.1:80
[Peer]
PublicKey = Dl3TiG4ZZY7eEczFvu5Vc1dxtboGzyqy5UZZ6EnN2CQ=
AllowedIPs = 10.5.0.0/24
Endpoint = eu_vps:51820
PersistentKeepalive=15
eth0 заменить на свой wan интерфейс (из ip a). tcp port 80 для примера, протестируйте сначала на веб сервере и смотрите его логи, если будут проблемы то можно снизить mtu до 1280
на выходной впс (европа впс) конфиг такой
[Interface]
Address = 10.5.0.1/24
ListenPort = 51820
PrivateKey = uHTaXqdCUktrlFUlP2GC4BiscMlFP3V4DyLgCvs9Tnk=
MTU=1440
#используем вторичную таблицу маршрутов где 0.0.0.0/0 (шлюз) будет ру впс
Table=111
PostUp=sysctl -w net.ipv4.ip_forward=1
#правило чтобы ответные пакеты от сервера не улетали в wan, а в таблицу 111
PostUp=ip rule add from 10.5.0.1 table 111
PostDown=ip rule del from 10.5.0.1 table 111
[Peer] #yKXgHJTLcbNR/1Ffdj0Q8bytWfKqvhhT6wgdOAF0UkA=
PublicKey = 7Oe80+rD8Xz0nz/RsshRc7gqBspU12FBSMWazuqw7xc=
AllowedIPs = 0.0.0.0/0 #пиру разрешен весь ipv4, т.е. он становится шлюзом в таблице 111
.
А если через nginx для вебсокета, то пример конфига тут Xray-examples/VLESS-WSS-Nginx/nginx.conf at main · XTLS/Xray-examples · GitHub (на другом конце должен быть чистый вебсокет без tls)