Два винта, две системы: пропробсить новую в старую

тут скорее виртуализация, для полноты картины. т.к. модули в ядре, которые реализуют/ускоряют крипту, могут поменяться от 5.15 до 7.1.

Есть два конфига VPN на два сервака. На один оно работает без проблем (потому что там тоже старые openvpn и gnutls), а на второй коннектится, но через минуту рвет соединение. Там свежее все.

Ну вы понимаете что в новых версиях opnevpn закрывают дыры …

Я бы все таки логи openvpn глянул. Бывали проблемы, логи глянешь и сразу понятно. Чуть изменил конфиг и все ок.

openvpn это не ядро а юзерспейс поэтому такой тормозной.

А тебе вот прям нужно именно OpenVPN из существующей (новой) системы запустить?
Можно развернуть Arch в LXC контейнере (см. тут) из шаблона. И поставить туда OpenVPN нужной версии.
В принципе можно запускать LXC контейнер указав как корень существующую систему. Но скорее всего что-то придется подкрутить там вручную.

Можно развернуть Arch в LXC контейнере (см. тут) из шаблона. И поставить туда OpenVPN нужной версии

А дальше? Там же и коннектиться по ssh куда надо, да?

Делал что-то похожее на debian, а конкретно «обновил d9 -> d13», ovpn клиенты «отвалились», а «надо вот прям сейчас и потом честно честно всех обновим».

В новой системе использовал systemd-nspawn для запуска «старой версии ovpn» и контейнер делил с хостом общую сеть. Тут можно почитать.

Не думаю что будет сильная разница при «подготовить старую систему для chroot». По такой-же аналогии можно в теории любую контейнеризацию использовать, но дополнительно смотреть чтобы у него было network=host и CAP_NET_ADMIN иначе маршруты оно не посоздаёт где надо.

Если нужен только SSH, то можно и прямо из контейнера (через lxc-console), либо подключится по SSH к контейнеру (контейнер по любому должен иметь доступ в сети хоста, обычно через bridge).

Если нужно чтобы другие приложения с хоста имели доступ к VPN подсетям, то нужно настроить роутинг на хосте и форвардинг (iptables) в контейнере.

В принципе можно запускать LXC контейнер указав как корень существующую систему. Но скорее всего что-то придется подкрутить там вручную.

дополню относительно «подкручивания»: для систем на OpenRC - это правка rc_sys в /etc/rc.conf. Для систем на Systemd по-видимому детект запуска в вирт. откружении происходит автоматом через systemd-detect-virt.

Думаю, что способ, предложенный Flotsky (через systemd-nspawn), в целом по-проще, хотя бы потому что используется хостовая сеть, и ничего не надо настраивать руками.