AllowedIPs 填写 0.0.0.0/0 ，靠路由表分流
路由表首先是按照最长前缀匹配，其次才用 metric ，需要 3 条路由：
0.0.0.0/0 （默认路由） -> wireguard
10.x.0.0/16 -> 单位网关
10.0.0.0/24 -> wireguard

如果入党只是为了“好处”，建议别入。

另外，你这个“朋友”是不是你自己？

补充一句，我的 020 移动 SIM 卡也是在去年 021 封控时期坏了，当时 020 移动提供了线上补卡功能，我通过手机号绑定的微信联系移动视频客服，完成视频身份验证就可以了，卡直接寄到 021 ，邮费到付。
不知道现在还能用不

难道 OpenWrt 不是 Linux 发行版？我点进来之前还以为你之前用的 pfSense..

坐标 021 ，21 年因工作变动办了张中银，只要了实名手机号和 offer 就办下来Ⅰ类，不过要求把我之前在 020 的卡降级为Ⅱ类（社保卡除外）。

我还有张 0755 民生卡，由于长时间没使用被限额了。

刷个 magisk + safetynet fix 模块

用 nftables 把 SYN+ACK 握手报文的 Window 修改为一个较小值，这样客户端发的 HTTP GET/TLS Hello 会被拆成两个，移动的无状态检测就看不到 host 了

建议两边抓包看看，不排除 PMTU blackhole

@acbot
@yougo
@wheat0r
我推测 BRAS 有策略路由，实现了源进源出，不需要源 IP 的路由

@MeteorVIP
@letmefly
OpenWrt 官方不支持 fullcone ，是靠第三方补丁实现的

@iijboom 哪个地区的移动？统计一下

@kidonng 这个可以用 LTO 解决

感觉是个 X-Y 问题，一定要用 MPTCP 吗？

alt-svc

@huanxianghao 不能

本机发送的 IP 报文，和转发的 IP 报文，在 Linux ip_output 函数之前走的是不同的路径
本机发送：ip_local_out() -> Netfilter OUTPUT hook -> ip_output() -> Netfilter POSTROUTING hook -> ip_finish_output()
转发：ip_rcv() -> Netfilter PREROUTING hook -> ip_rcv_finish() -> ip_forward() -> Netfilter FORWARD hook -> ip_forward_finish() -> ip_output() -> Netfilter POSTROUTING hook -> ip_finish_output()

透明代理，无非是 iptables DNAT/REDIRECT/TPROXY 规则，插入到 PREROUTING 就是代理转发，插入到 OUTPUT 就是代理本机。

@xinJang 你的 nat 类型是直接在手机上运行 stun 程序获得的吗？