Маршрутизация или туннелирование через устройство в локальной сети

[bmvkeen]

Есть роутер keenetic speedster KN-3012 в качестве маршрутизатора и dhcp-сервера. На wan порт приходит интернет кабель провайдера. На порту роутера lan подключен ПК windows, который будет постоянно в сети. На этом ПК запущена виртуалка на Ubuntu в режиме сетевого моста, то есть у ПК Ubuntu свой ip адрес в подсети роутера. На Ubuntu поднят туннель xray до vps-сервера. Все устройства, подключенные к роутеру keenetic, сидят в сегменте (vlan) "Домашняя сеть" (в том числе и Ubuntu).
Вопрос: как нужно (если вообще возможно) настроить маршруты и/или VPN туннели (ip-ip, gre) чтобы все клиенты сегмента "Домашняя сеть" Уходили не сразу в wan, а шли через Ubuntu, заворачиваясь в xray туннель.
Это все для того, чтобы построить xray туннель, в который мой кинетик не умеет, и туннелить только целевой траффик (фильтр по доменному имени).
Как вижу это я, сделать 2 ip-ip туннеля: ubuntu-in и ubuntu-out. В ubuntu-in будет ходить весь сегмент "домашняя сеть", а ubuntu-out в сразу в wan. При этом, физически, что в ubuntu-in приходит траффик с роутера, что ubuntu-out уходит в тот же роутер. Не понятно только как например из локалки подключиться по ssh к этому Ubuntu, если весь траффик из ububtu-in уходит в Ubuntu-out. 
P. S. Не кидайте камнями, в сетях слабо понимаю, с радостью ознакомлюсь с более оптимальными вариантами. 

[Кинетиковод]

А чем вас awg+kvas не устраивает? Зачем такие извращения?