Различить через iptables kernel и userspace трафик?

Читай маны по iptables - кажется OWNER или что-то типа того....

внутри тунеля опять таки пользовательский трафф , так что вопрос стоит только в том куда этот трафф напрвляется

Не-а В ядре:

CONFIG_IP_NF_MATCH_OWNER: Packet owner matching allows you to match locally-generated packets based on who created them: the user, group, process or session.

Правда не факт что такой виток положительно скажется на скорости сети, но если критично знать - то поможет.