hint000

Поскольку вопрос задан непонятно, то сначала переведу его на нормальный язык.
На стороне сервера нужно поднять два VPN-соединения до разных хостов (не будем уточнять, является ли наш сервер VPN-сервером или VPN-клиентом, решение от этого не зависит). Не уточняется, будут ли это site-to-site VPN или же - по новой моде - от VPN не нужно ничего другого, кроме тупого обхода блокировок. Будем считать, что хотим и site-to-site, и обмен трафиком с внешним миром через VPN. Весь трафик (кроме локального) клиентов первой подсети пустить через первое VPN-соединение. Весь трафик (кроме локального) клиентов второй подсети пустить через второе VPN-соединение.

Теперь ответ. Source based routing, она же маршрутизация от источника, она же policy based routing. Суть в использовании более одной таблицы маршрутизации. Подробности гуглить, статей на эту тему навалом.

Но если сценарий использования - корпоративный site-to-site VPN, без необходимости обхода блокировок, то обычно даже не требуется policy based routing, потому что подсети на других концах соединений, скорее всего, окажутся не пересекающиеся, и тогда достаточно самой обычной маршрутизации (а выход в интернет происходит мимо VPN при таком сценарии). Почему я вообще заостряю внимание на блокировках? Потому что новое поколение нередко считает, что VPN только для этого и нужен (нет).

iptables -t nat -A PREROUTING -s 10.8.0.2 -p tcp --dport 80 -j DNAT --to-destination адрес_вашего_сайта
iptables -t nat -A PREROUTING -s 10.8.0.2 -p tcp --dport 443 -j DNAT --to-destination адрес_вашего_сайта

Покупаете свой роутер, цепляете его в промежутке между первым роутером и ноутбуком (к первому роутеру свой подключаете кабелем, для ноута раздать Wi-Fi или даже наоборот, ловить своим роутером Wi-Fi, а ноуту отдавать по кабелю), настраиваете VPN на своём роутере.

iptables -t nat -I PREROUTING -d 141.8.199.Х -p tcp --dport 8080 -j DNAT 10.8.0.2

Нет, достоверно определить нельзя, при условии что через VPN будет пущен весь трафик виртуальной машины.
Но если VPN-сервер размещён где-то на хостинге, то можно по пулу адресов сделать обоснованное предположение насчёт использования VPN. Грубо говоря:

мой трафик идёт через Amazon, с чего бы это? Это VPN, наверное.

И ещё относительно легко обнаружить, что система запущена в виртуальной машине, если это имеет значение.

Крутить траффик весь не обязательно, требуется просто заходить на веб-морду конкретной камеры

Вы сами ответили на свой вопрос. Просматриваете\записываете картинку с камеры - трафик идёт, не просматриваете и не записываете - трафик не идёт. Насколько толстый трафик - это в настройках каждой камеры.
Это если в первом приближении. Но есть нюанс. Некоторым владельцам камер пофиг, и они не отключили передачу картинки в китайское облако (которое часто даже не защищено, смотри кто хочет; но это я отклонился от темы). И надо ещё посмотреть, не получится ли так, что камеры будут через ваш VPN заливать картинки в китайские облака. Но вы можете файерволом закрыть им такую возможность.

И что ещё следует учесть при таком объёме устройств?

Если будет 10000 VPN-соединений, то на вашем устройстве нужен довольно мощный процессор. Например, ПК в качестве VPN-сервера.

Нет здесь правил для INPUT с действием DROP, а значит и нет смысла добавлять что-то в INPUT с действием ACCEPT, оно и так по-умолчанию будет. Можно написать и более лаконично:

iptables --flush
iptables --delete-chain
iptables -t nat --flush
iptables -t nat --delete-chain
iptables -P OUTPUT DROP
iptables -A OUTPUT -j ACCEPT -o lo
iptables -A OUTPUT -j ACCEPT -p udp --dport 1194
iptables -A OUTPUT -j ACCEPT -o tun+

Отличие в том, что можно подключаться к любому OpenVPN-серверу, т.к. ограничение задано по номеру порта, но не по адресу сервера. Также запись tun+ позволит работать через любой туннель, если будет создано несколько туннелей (tun0, tun1, tun2,..) - ну мало ли как и что захочется добавить в будущем.

подозреваю, что вы задаёте этот вопрос ранним утром, не вполне проснувшись.

Есть на борту TP-Link TL-er6120.

На борту чего? Вы находитесь на судне или на авиалайнере? :)

Сеть идёт: провайдер - медиаконвертер - kerio - switch, мне надо отделить эту сеть

Отделить от чего? :)

знаю что есть веб интерфейс, там что каждому порту можно прописать ip/mask?

Если боитесь сразу зайти на веб-интерфейс реальной железяки, то есть эмулятор на официальном сайте:
https://www.tp-link.com/ru/business-networking/vpn...

Каким образом тп линк поймет что ему надо отдавать динамику в свитч?

Вот я никогда не держал в руках названную модель маршрутизатора. Загуглил, перешел по ссылке в эмулятор и даю ответ: Network -- LAN -- DHCP Server, для этого даже мозг не нужен, глаз видит, палец жмакает мышку.

А была бы в руках реальная железка - и эмулятор не нужен.

Каким образом прописывать статику от провайдера для tp-link'a

Аналогично, Network -- WAN -- WAN1 -- Connection Type -- Static IP

Каким образом настраивается базовая безопасность в tp-link'e?

Если базовая, то настраивать ничего не нужно. Базовая обеспечивается из-коробки. Всё что сверх этого - не базовая, и зависит от конкретных требований, задач и т.д.

P.S. кстати, функциональностью такого маршрутизатора я разочарован (заочно). Стоит не дёшево, позиционируется как устройство бизнес-уровня, а функциональность хилая. Вот управляемые свитчи от TP-Link радуют соотношением цены и фунциональности, а маршрутизаторы печалят.

Правда, у меня не Gnome, а XFCE, но должно быть один фиг.

книга Кевина Митника "Искусство быть невидимым"; думаю, что он кое-что понимает в теме:
https://www.litres.ru/kevin-mitnik/iskusstvo-byt-n...