Первая показывает статус юнита. Вторая статус файрволла

systemctl не смотрит статус файрволла

Это либо iot (лампы итд), либо рандомизированные mac-адреса современных смартфонов, которые стараются прятать настоящие, чтобы бороться с отслеживанием. Можно посмотреть в их настройках WiFi.

К VPN отношения не имеет