Нисколько не потребляет, когда не работает, а работает она только когда вы меняете через нее правила. Всегда потребляет ресурсы встроенный файервол netfilter, а сколько, зависит от кол-ва правил, их сложности и подключенных модулей.
Туннели могут какие угодно разные, что в софте реализуете, хоть http через icmp.
