chupasaurus

Можно настроить для отдельных приложений правила в виндовом файрволле, но они будут распространяться на обоих юзеров. Нельзя пустить маршрутизацию по-умолчанию в VPN, а приложения конкретного юзера - мимо.
Может быть, кто-то и делает кастомные файрволлы с подобным функционалом, но я о них не знаю.
Хотелось бы послать копать в сторону Server 2016 и сетевой части контейнеров, но там по факту всё рулится Hyper-V а не как у людей.

Welcome to Yota, они уже очень давно с помощью DPI режут скорости у ненравящихся им протоколов.
Можете попробовать SoftEther VPN, их фирменный протокол DPI-непригоден.

Никак не синхронизировать. Приватный ключ не должен покидать места, где был сохранен после генерации, кроме 2 ситуаций: угроза хранилищу с ключом и угроза кражи. Для того, чтобы баловаться с огнём, придумали цепочки сертификатов: создавайте отдельный корневой CA и им подписывайте сертификаты остальных серверов.

Удалять маршрут по-умолчанию у интерфейса с интернетами после поднятия туннеля.

• Если поднимать туннель скриптом-однострочником или просто из консоли - с параметрами

  --security-level 2 --up /path/to/route-killswitch.sh

  
  
• Если из NetworkManager - добавить файл /etc/udev/rules.d/route-killswitch с содержимым

  KERNEL=="vpn0", RUN+="/PATH_TO_THE_SCRIPT/SCRIPT_NAME"

  
  

Скрипт:

#!/bin/sh
ip route del default dev dev_name

Из мануала по L2TP:

Office and Home routers are connected to internet through ether1, workstations and laptops are connected to ether2. Both local networks are routed through L2TP client, thus they are not in the same broadcast domain. If both networks should be in the same broadcast domain then you need to use BCP and bridge L2TP tunnel with local interface.

How-To по BCP