Alexey Dmitriev

Вам нужно открыть исходящие соединения с порта ssh (по умолчанию tcp 22) и поставить политику OUTPUT в DROP
Либо просто открыть исходящие соединения с порта ssh (по умолчанию tcp 22) а вторым правилом сделать -A OUTPUT -j DROP

Настраивайте все приложения на работу через ваш socks proxy и торрент клиенты и putty это умеют.
Хотите весь трафик - настройте на VPS любой VPN сервер.

Подайте заявление на удаление из списков

То, что вы описали, называется kiosk mode и в Windows 10+ он есть

Нужно не менять default route, а добавлять маршрут к 0.0.0.0/0 с более высокой (меньшее значение) метрикой, чем имеющийся

Отключите IP-in-IP encapsulation. off вместо always в yaml calico

- name: CALICO_PV4POOL_IPIP
  value: "always"

iperf

Скорость до провайдера можно узнать - спросив в ТП адрес внутреннего iperf сервера, приличные провайдеры их держат, и соответственно скачать iperf и запустить тест.

1. Заменить материнскую плату на плату с поддержкой Intel vPRO/AMT.
2. Поставить PCI IP KVM типа https://www.aten.com/global/en/products/kvm/kvm-ov...

И очень сомнительно это - "У компа в BIOS нет функции стартовать при подаче питания".

Поставьте на сервер любой DNS сервер с веб интерфейсом и nginx proxy manager c веб интерфейсом

ISCSI

Автономная система не привязана к провайдеру и может быть перенаправлена к любому провайдеру (и соответственно к вам через другого провайдера) анонсом соответствующих BGP маршрутов https://datatracker.ietf.org/doc/html/rfc7705

Теоретически, да может.
В стандарте нет ограничения - поэтому можно создать DNS зону 123.123.123 и в ней DNS запись 123.
Есть ли в Интернет подобные DNS зоны, состоящие из цифр - у меня информации нет.

Поставить между макбук и Интернет маршрутизатор, который будет обеспечивать VPN в страну из whitelist

Наверно не снэпшот, а точку восстановления. Что мешает написать скрипт, который будет откатывать точку восстановления, ставить обновления и создавать новую?
И вероятно ваш подход чреват потерей доверительных отношений между станцией и доменом - когда пароль сменится а вы его откатите из точки восстановления на старый.

Для раздачи Интернет через Windows Server в нём есть специальная роль - RRAS (Служба маршрутизации и удаленного доступа)

Перенести web интерфейс вашего маршрутизатора на другой порт, если он это позволяет.

1. Установить любой прокси сервер, который позволит выбирать интерфейс для исходящего трафика и выбрать в нем интерфейс "смартфон в эмуляции сетевой карты".
Настроить в браузере выход через прокси сервер для конкретного сайта, используя расширение типа foxyproxy