Постоянный VPN

Проверяем внешний ip например так:

curl smart-ip.net/myip

sudo iptables -F
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -j ACCEPT

sudo iptables -F
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -m string --string "smart-ip.net" -j ACCEPT
sudo iptables -A OUTPUT -j REJECT

Примерно так.

Да, но в случае если проверка показала неверный внешний адрес, тогда все соединения закрываются ДО какого момента? как проверка может быть проведена если все соединения закрыты, а сама проверка связана с внешним веб-адресом?

В таком случае можно сделать периодическую проверку раз в 10 сек (например) открывается доступ наружу с проверкой соединения, как проверка успешная - разрешить соединения и проверять дальше, если неудачная, то продолжать блокировать. Пара циклов и весь скрипт на страницу уложится. Короче чисто правилами iptables это не реализовать, писать скрипт по-любому.

Извините, но это хрень собачья. Вот как реализовано на Android - Always-on-VPN, так это должно функционировать.

Читайте внимательнее суть топика, VPN соединение создаётся роутером, а блокировать любые соединения надо на локальной машине в зависимости от статуса соединения VPN на роутере! Ваша Always-on-VPN к данной задаче отношения вообще не имеет )))

настрой на роутере маршрут до впн сервера и убери дефолтный шлюз. При обрыве канала до впн, трафику не куда будет уходить.

Как мне сделать так, что бы мой компьютер запрещал любой трафик отправленный или полученный не через ВПН

как ты это представляешь, если у тебя впн соединение поднято на роутере?

Прекрасно, как это сделать тогда, если оно поднято на машине на которой мы пишем скрипт для этого?

как то так

https://github.com/piratelinux/VPN-Firewall/blob/master/usr/bin/vpnfirewall

или как сказал выше маршрутизацией.

*mangle
:PREROUTING ACCEPT [48147:27078318]
:INPUT ACCEPT [47737:27019906]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [28676:7191339]
:POSTROUTING ACCEPT [48606:10798886]
-A OUTPUT -o tun0 -m owner --uid-owner [UID пользователя] -j ACCEPT
-A OUTPUT -d [АДРЕС VPN] -o br0 -m owner --uid-owner [UID пользователя] -j ACCEPT
-A OUTPUT -d [АДРЕС ПОДСЕТИ] -o br0 -m owner --uid-owner [UID пользователя] -j ACCEPT
-A OUTPUT -o br0 -m owner --uid-owner [UID пользователя] -j DROP
COMMIT

Пример для OpenVPN с tun-интерфейсом и persist-tun. Разрешает конкретному пользователю использовать интерфес tun0, разрешает обращение к адресу VPN через основной интерфейс (в данном случае br0), разрешает доступ к вашей локальной сети через br0, дропает все остальное для br0. Записывать в *mangle.

Не заметил, что оно на роутере поднято. Впрочем, там уже ответили про маршруты.

как то так

Там правда forward запрещается, потому будет работать только для этого хоста, а не как рутер.

а я даже не смотрел, что там в этом скрипте, потому что лень. Таких тем если порыться миллион можно найти.