У NetworkManager есть такая фича: запускать туннель после запуска интерфейса. В случае статической конфигурации в этом не очень много смысла, но в моем случае адрес WG Peer задан как hostname, а не как IP адрес.
И вроде бы все хорошо, добавляем два туннеля в connection.secondaries и погнали.
Но:
$ nmcli connection modify $wifi_uuid connection.secondaries "$vpn1_uuid $vpn2_uuid"
Error: failed to modify connection.secondaries: '$vpn1_uuid' is not a VPN connection profile.
Я искренне не хочу лезть читать код NetworkManager, может быть все-таки есть какая-то опция, о которой я не знаю?