Вы все всё время предлагаете ловить тараканов по одному. Делайте со своими дырявыми устройствами всё что хотите. Ну не хочется сделать элегантно и правильно – сидите с этими всеми неудобствами и уязвимостями, в ввиду своих узких знаний (вообще речь про всех) наивно надейтесь на то что вы умнее цензоров (которые собаку на этом съели).
На любую известную уязвимость найдется фикс. Но на незвестную (лично вам) – только после того как ваш туннель уже съел РКН. И вы будете в эти кошки мышки играть вплодь до рута Android. И под каждое подключенное к туннелю устройства – свои собственные костыли и неизвестные (опять же вам с вашими знаниями) дыры.
А я буду просто нормально пользоваться устройствами, которые делают одну вещь хорошо – userspace изоляция, а не изоляция сети. И удаленным центральным шлюзом (или локальным – например OpenWRT роутер) маршрутизации, который на 100% создан для того чтобы и решать все эти утечки.
У меня нормально работают и госуслуги, и Сбербанк. Всё через WARP. Если вдруг заставят вас ослабить свою схему, например, чтобы вы наивно стали пускать в DIRECT – не делайте этого, это их хитрая манипуляция. Политики сервиса решаются на самом шлюзе маршрутизации вторым хопом, и не через домашний IP с того куда в туннель идут запросы.