Николай

Это мне напоминает свою конфигурацию сети.
Провайдер даёт одну /64 подсеть IPv6. К компьютеру подключён по проводу телефон, на который пробрасывается один из адресов по VPN.
При этом на компьютере запущен NDP прокси, который отвечает на запросы NDP по IP телефона. Вышестоящий роутер делает NDP запрос, кому принадлежит адрес телефона, компьютер отвечает, что ему, роутер отправляет пакет компьютеру, тот его получает и маршрутизирует в сеть телефона.

В вашем случае с IPv4 это будет ARP прокси. При этом сервер будет отвечать на ARP запросы, как будто адрес виртуалки принадлежит ему, а на самом деле получать пакеты на маршрутизацию куда-то ещё, и передавать их в туннель.

dpkg -L util-linux

equery f util-linux

rpm -ql util-linux

Эти команды (в зависимости от дистрибутива) выдают список файлов, принадлежащих указанному пакету (util-linux в примере).

Поставить линукс (чтобы отсечь большинство специфичного для винды malware), создать пользователя с админскими правами, и подключаться под ним удалённо, а ребёнку давать простого юзера.
Но Wine работает от простого пользователя, и у каждого пользователя свой каталог .wine. То есть он сам сможет туда ставить игры, моды всякие, а в случае повреждения этого каталога или попадания туда вирусни можно его просто снести и переустановить игрушки. Можно настроить и бэкап инкрементный по расписанию (то есть в начале месяца архивируется весь этот каталог, а потом каждый день только изменения), тогда если ребёнок скачал что-то не то, его данные можно будет восстановить, чтобы не терять какие-то данные (хотя сейчас игры скорее всего хранят данные в облаках, поэтому такой необходимости может и не быть). При этом бэкап запускается от root юзера, и malware от обычного юзера не сможет удалить бэкапы.

ndppd можно использовать.
в /etc/ndppd.conf
proxy enp18 {
rule 2a0f:9500:fa0:102::/64
{
iface wg_ip6
}
}

варианты типа префикса: static - отвечать на все neighbor solicitation (не рекомендуется для больших префиксов, чтобы не забивалась таблица соседей несуществующими адресами),
iface - перенаправлять на интерфейс, auto - тоже перенаправлять на интерфейс, но определять его автоматически.
У меня конфигурация похожая, стоит ndppd и Wireguard, но там за Wireguard нет своей подсети со SLAAC, и префикс мелкий (/112), в опции стоит просто static.
Так как wireguard это p2p интерфейс, то (как я себе это представляю), на той стороне wireguard'a ndppd должен аналогично перебрасывать nd запросы с wireguard уже в сеть на той стороне. Само собой там должен быть запущен radvd, анонсирующий указанный префикс в сеть.

У меня (хоть не на Debian, а на Gentoo) в пакете nvidia-drivers есть systemd unit'ы nvidia-hibernate.service, nvidia-resume.service и nvidia-suspend.service. Они вызывают скрипт /usr/bin/nvidia-sleep.sh с параметрами suspend и resume при уходе в ждущий режим и при просыпании, который передаёт драйверу соответствующую команду. См. документацию NVidia (https://download.nvidia.com/XFree86/Linux-x86_64/4...).

Мне для нормальной работы ждущего режима в KDE Plasma с видеокартой NVidia достаточно было сделать systemctl enable для трёх указанных юнитов. Без этого система не хотела переходить в ждущий режим. Может быть, у вас отрабатывает suspend, но не отрабатывает resume?

В Gentoo можно переопределить команду скачивания пакета (FETCHCOMMAND), чтобы она вместо скачивания пакета с исходниками выводила в список ссылку на него вместе с именем файла, которое ожидает emerge. Потом список записывается на флешку, файлы скачиваются на компе с интернетом, а потом переписываются в каталог distfiiles, и emerge их видит.
Я не могу сказать, может быть аналогичный способ можно применить и к другим дистрибутивам, чтобы не качать весь репозиторий целиком? У Gentoo репозиторий делится на две части, дерево portage и distfiles, portage это индексная часть, которая отвечает за информацию о том, как собирать пакеты и какие между ними зависимости, и имеет сравнительно небольшой размер, около 200 Мб или 50 Мб в сжатом архиве, а distfiles это просто файлы с архивами исходников, которые могут весить много. У Debian обе части хранятся в одном дереве. Можно было бы скачивать только индекс (Packages.gz), а пакеты только по необходимости, как описано выше, через переопределение команды загрузки.
Если компьютеров в сети с одинаковой конфигурацией Gentoo много (архитектурой, use флагами, параметрами сборки, зависящими от процессора), то пакеты собираются на одном по указанной схеме (надо ещё прописать FEATURES="buildpkg" для формирования бинарных пакетов), а на остальных прописывается PORTAGE_BINHOST, указывающий на этот компьютер, чтобы ставить из бинарника, а не собирать на каждом.
https://wiki.gentoo.org/wiki/Binary_package_guide
Если конфигурация на разных компьютерах разная, то можно просто сделать общую директорию distfiles по NFS, чтобы не копировать файлы вручную.