ValdikSS

tar -cz /home/target | sshpass -p 'pwd' ssh -p 23 username@server.com 'cd /unpack/me/here && tar -zx'

ip route add default dev eth1 table 1000
ip route add ip.диапазон.для.gre dev gre0 table 1000
ip rule add from ip.диапазон.для.gre lookup 1000

В общем случае средствами лишь маршрутизации — никак. Это технически возможно, но никто этого еще не сделал (и я расстраиваюсь этому факту не первый год!).

Выходов несколько:
1. Добавлять IP-адреса доменов в момент резолва в лист маршрутизации VPN
Необходимо настроить DNS-сервер так, чтобы в момент запроса поддомена необходимых доменов (например, *.instagram.com) полученные IP-адреса добавлялись в список маршрутизации через VPN.
Это можно сделать, например, с помощью dnsmasq ipset.
Необходимо настроить маршрутизацию по списку ipset, а dnsmasq будет добавлять новые адреса, которые запрашивает пользователь, в этот список.

Недостаток способа заключается в необходимости использовать только DNS на роутере (DNS-over-HTTPS или любой сторонний резолвер не подойдёт — IP-адреса не будут добавляться в ipset и маршрутизации в VPN не будет), а также в том, что любой добавленный IP-адрес будет маршрутизирован в VPN: если два домена используют один и тот же IP-адрес, разделить их маршрутизацию не получится, оба будут маршрутизироваться через VPN.

В OpenWrt настраивается с помощью пакета pbr. Он не поддерживает регулярные выражения, как вы заметили, но они и не нужны: просто напишите любой домен, и словно это зона, все поддомены домена будут маршрутизированы в VPN. По-моему, pbr даже по-другому и не работает (нельзя маршрутизировать конкретный домен без его поддоменов).
Пример с доменами Netflix. Обнаружить все домены Instagram можно с помощью F12 - Network в браузере.

2. Обнаруживать домены в трафике, перемаршрутизировать через список маршрутизации VPN позже
Вариация первого метода с модулями вроде xt_tls, позволяющим обнаружить обращение к определённому домену из TLS-трафика, чтобы также добавить IP-адрес в ipset для маршрутизации в VPN.

Преимущество в том, что клиент может использовать любой DNS-сервер. Недостаток в том, что первый раз соединение всегда либо зависнет, либо разорвётся, и только второе и последующие заработают через VPN.
Вот здесь можно почитать, почему так происходит.

В OpenWrt модуль отсутствует.

3. Терминировать трафик на «умный» прокси-сервер, который поддерживает маршрутизацию по доменам
Весь TCP/UDP-трафик перенаправляется на локальный прокси-сервер, способный выявлять домены прямо из трафика и маршрутизировать их в зависимости от правил. Примеры подобных прокси: v2fly, xray, sing-box, и др. (все есть в OpenWrt).

Недостаток метода в том, что весь трафик будет обрабатываться userspace-программой: на низкопроизводительных роутерах это может привести к серьезному замедлению, некоторые VoIP-программы не будут звонить (из-за несовпадения UDP-порта, который создала программа, и UDP-порта, который использует прокси), и поддерживаются только UDP и TCP, другие протоколы (ICMP, GRE, IPIP, что угодно) через такой прокси работать не будут.
Преимущество в лёгкой настройке и довольно стабильной работе.

Алгоритм определения доменов, необходимых для маршрутизации, не отличается от описанного в #1.

https://habr.com/ru/articles/835602/comments/#comm...

(Wi-Fi-роутер это Orange Pi)

1. Подключить Orange Pi кабелем в существующую локальную сеть
   
2. Включить маршрутизацию на Orange Pi (sysctl net.ipv4.ip_forward=1)
   
3. Убедиться, что в iptables нет запрещающих маршрутизацию правил
   
4. Установить zapret nfqws и настроить на обработку маршрутизируемого трафика (если будете использовать nftables — см. баг)
   
5. Прописать настройки сети в Orange Pi статически, установить IP-адрес Orange Pi в качестве шлюза на конечных устройствах. Такая опция есть на любом устройстве, даже на телевизоре. В общем случае достаточно прописать DHCP option 3 на роутере, тогда изменять вручную шлюзы не потребуется.
   

Всё. Не надо ни физически ничего переподключать, ни поднимать дополнительную сеть Wi-Fi.

OpenWrt пробовал, очень мало памяти и ничего не поставить.

У вашего роутера 16 МБ памяти, её хватит на всё с большим запасом. Вам не нужно отдельное устройство в виде Orange Pi.

Вы хотите подключиться с Proxmox к существующей сети Wi-Fi и маршрутизировать трафик в виртуальные машины?
Так, в общем случае, не получится — Wi-Fi это не Ethernet, его нельзя объединить в мост с Ethernet-адаптерами.

Вам нужно либо запускать getty или аналог в качестве сервиса openrc, либо в вашем init-скрипте запускать openrc-демон последним, с помощью exec

exec [-cl] [-a name] [command [arguments]]
    If command is specified, it replaces the shell.  No new process  is  created.   The
    arguments become the arguments to command.  If the -l option is supplied, the shell
    places a dash at the beginning of the zeroth argument passed to command.   This  is
    what  login(1)  does.   The  -c  option causes command to be executed with an empty
    environment.  If -a is supplied, the shell passes name as the  zeroth  argument  to
    the  executed  command.   If  command  cannot  be  executed for some reason, a non-
    interactive shell exits, unless the execfail shell  option  is  enabled.   In  that
    case,  it returns failure.  An interactive shell returns failure if the file cannot
    be executed.  If command is not specified, any  redirections  take  effect  in  the
    current  shell,  and  the return status is 0.  If there is a redirection error, the
    return status is 1.

Скорее всего, у вас glibc malloc не отдаёт память.
Если запуск следующей команды освободит память, то дело точно в этом:

sudo gdb --batch -ex 'call malloc_trim(0)' --pid PID_OF_PYTHON_PROCESS

Где PID_OF_PYTHON_PROCESS — pid процесса.

Решений несколько: от задания MALLOC_ARENA_MAX=2 MALLOC_TRIM_THRESHOLD_=65536 до использования альтернативных аллокаторов, например, jemalloc.

Подойдёт mkosi, buildah.

-P INPUT ACCEPT
-P FORWARD DROP
-P OUTPUT ACCEPT
-A FORWARD -i int2 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o int2 -j ACCEPT
-A OUTPUT -o int1 -d ip-адрес-vpn-сервера -j ACCEPT
-A OUTPUT -o int1 -d 192.168.8.0/24 -j ACCEPT
-A OUTPUT -o int1 -j DROP

И аналогичные для IPv6.

Policykit позволит настроить правила доступа максимально гибко.
https://wiki.debian.org/PolicyKit

Грубо говоря, мне нужно сделать так, чтобы при включении ПК автоматически входил пользователь и автоматически запускалось приложение. При этом всё должно быть безопасно, у пользователя должен быть очень ограниченный набор прав и он не должен иметь возможность выполнять команды, которые может выполнять java приложение.

Возможно, в этом случае вам и вовсе не нужен Desktop Environment? Запускайте своё приложение единственным на весь экран (режим киоска), пользователь будет ограничен только его функциями.

На уровне маршрутизации:

ip rule add to 10.0.0.0/8 oif enp0s31f6 prohibit
ip rule add to 192.168.0.0/16 oif enp0s31f6 prohibit
ip rule add to 172.16.0.0/12 oif enp0s31f6 prohibit

Вам нужна доверенная загрузка.
https://0pointer.de/blog/brave-new-trusted-boot-wo...

QEMU эмулирует компьютер с устройствами. Так как в виртуальной машине эмулируется сетевая карта Ethernet, то и на ответной стороне тоже ожидается что-то с поддержкой Ethernet.

Подключайте сеть по иному L2-каналу, например, по серийному порту через PPP, а на хосте у вас будет pppd, ожидающий соединение на противоположной части порта. Протокол PPP не туннелирует Ethernet.

На уровне маршрутизации:

ip rule add to 10.0.0.0/8 oif enp0s31f6 prohibit
ip rule add to 192.168.0.0/16 oif enp0s31f6 prohibit
ip rule add to 172.16.0.0/12 oif enp0s31f6 prohibit