chupasaurus

Добавьте ещё один порт в пробрасываемые контейнеру
-p 3658:3658/udp \
А в самом контейнере надо после каждого его старта/рестарта добавлять правило iptables:

sudo nsenter -n -t $(docker inspect -f '{{.State.Pid}}' wg-easy) iptables -t nat -A PREROUTING -d $(docker inspect -f '{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' wg-easy) -p udp --dport 3658 -j DNAT --to-dest 10.8.0.2:3658
sudo nsenter -n -t $(docker inspect -f '{{.State.Pid}}' wg-easy) iptables -t filter -A INPUT -p udp -d 10.8.0.2 --dport 3658 -j ACCEPT

Правила можно собрать в один шелл скрипт и запускать его одной командой.
P.S. NFS Underground 2 очень плохо себя вёл при джиттере.

Можно настроить для отдельных приложений правила в виндовом файрволле, но они будут распространяться на обоих юзеров. Нельзя пустить маршрутизацию по-умолчанию в VPN, а приложения конкретного юзера - мимо.
Может быть, кто-то и делает кастомные файрволлы с подобным функционалом, но я о них не знаю.
Хотелось бы послать копать в сторону Server 2016 и сетевой части контейнеров, но там по факту всё рулится Hyper-V а не как у людей.

Welcome to Yota, они уже очень давно с помощью DPI режут скорости у ненравящихся им протоколов.
Можете попробовать SoftEther VPN, их фирменный протокол DPI-непригоден.

Вы не указали, по какому протоколу настроили VPN. Если это был OpenVPN - надо настраивать ethernet bridging, и только по UDP.
P.S. Home Streaming очень сильно зависит от сетевой задержки и её стабильности (не должна опускаться ниже 1/фреймрейт, если меньше 4мс - отлично), а также видеопоток там с большим битрейтом (чтобы не нагружать процессор компьютера, на котором запущена игра), что убивает возможность игровой машинке быть подключенной по WiFi стандартам младше 11ac.

Удалять маршрут по-умолчанию у интерфейса с интернетами после поднятия туннеля.

• Если поднимать туннель скриптом-однострочником или просто из консоли - с параметрами

  --security-level 2 --up /path/to/route-killswitch.sh

  
  
• Если из NetworkManager - добавить файл /etc/udev/rules.d/route-killswitch с содержимым

  KERNEL=="vpn0", RUN+="/PATH_TO_THE_SCRIPT/SCRIPT_NAME"

  
  

Скрипт:

#!/bin/sh
ip route del default dev dev_name

Любой адекватный провайдер VPN должен давать доступ без приложений. Например