Если актуально - в групповых политиках в разделе "Конфигурация компьютера"---"Конфигурация Windows"---"QoS на основе политики" можно создать правило, чтобы для любого приложения в IP пакеты присунуть DSCP метку, причем даже не для конкретного приложения по конкретному пути, а для любой программы с заданным именем, например, firefox.exe. Правда, через Pоwershell все равно придется поправлять правило, потому что через окно настроек винда за каким-то лешим применяет это правило к рабочему сетевому профилю сети и де факто не работает (у большинства профиль автоматом включается либо частный, либо публичный).
Потому через Powershell от админа вводим
NetQoSPolicy - ищем нужное правило, запоминаем имя, далее:
Set-NetQosPolicy -Name "имяправила" -NetworkProfile All
правим, чтобы правило для всех сетевых профилей работало: и рабочий, и частные сети, и публичные. Применяется на лету, не надо перезагружаться.
А с меткой уже на роутере можно к траффику применять любые правила, в т.ч. и заворачивать в туннель.
А вот напрямую так и до сих пор не нашел способ)