折腾了这么多年，现在返璞归真，只要4条命令

在某个遥远的地方：

sudo iptables -t filter -A FORWARD -s 192.168.88.0/24 -j ACCEPT
sudo iptables -t nat -A POSTROUTING -s 192.168.88.0/24 -o eth0 -j MASQUERADE
sudo socat TUN:192.168.88.1/24,tun-name=ssl,up openssl-listen:443,reuseaddr,cert=server.pem,verify=0,fork

在自己机器上：

sudo socat TUN:192.168.88.2/24,tun-name=ssl,up openssl-connect:somewhere.doesnot.exist:443,cafile=server.crt,verify=0

应该也可以级联socat遇到不友好人士扔个gzip炸弹啥的，需要研究一下ip-pktinfo。