Как пробросить трафик виртуальной машины через VPN?
iproute2 умеет работать с маркированным через iptables трафиком.
Маркируете трафик в таблице PREROUTING через iptables -j MARK --set-mark как вам нужно, потом подхватываете его iproute2 и маршрутизируете, как вам нужно.
Нашел решение самостоятельно:
iptables -A FORWARD -i vmbr1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o vmbr1 -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
echo 100 vguest >> /etc/iproute2/rt_tables
ip rule add from 10.0.0.0/24 table vguest
ip route add default dev tun0 table vguest