Как запретить выход в инет при неактивном VPN?

Не указывай default gateway.

Можно немного подробнее? Где именно оно указывается/не указывается? Мой гугл что-то не спешит радовать, видимо это слишком очевидно, но не для меня.

VPN-подключение кто устанавливает, комп или роутер?

У него ведь свой интерфейс? Запрети себе доступ на другие и поднимай впн от другого пользователя\рута.

Комп, openvpn. Я ещё не VPN-юзер, только учусь, посему заранее прошу прощения за возможную глупость.

Можно чуть подробнее, чем сей запрет реализуется?

Ещё такая фигня: сервис openvpn, кмк, отрабатывает раньше, чем netctl, который мне wifi подключает. Systemd. Поэтому, наверное, после загрузки VPN не работает - заработает только при ручном рестарте openvpn-сервиса. Вопрос - как это всё сделать как надо? Т.е. чтобы вафля поднялась, и только потом VPN

Иптаблесом. Я не знаю, мб сработает, редко им пользуюсь:

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT DROP [0:0]
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -m owner --uid-owner openvpn-user -j ACCEPT
-A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A OUTPUT -o openvpneth -j ACCEPT
COMMIT

Смотри выхлоп ip route show У тебя там должна быть строчка наподобие

default via 192.168.1.1 dev p2p1  proto static  metric 1024

Это - твой default route, который ты либо вписал сам, либо получил по DHCP. Процедура такая:

1) Удаляем default route и указанный в ручных настройках либо опциях DHCP-сервера default gateway (см. «ip route del»)

2) Вписываем статический маршрут до ВПН-сервера (см. «ip route add»)

3) Учим ВПН-клиент автоматически создавать дефолтный маршрут через ВПН-сервер при подключении. См. доки по опенвпну. Там чего-то с redirect-gateway вроде, я не помню.

Мейби в хостс можно запретить.... Вообще нам в офисе делали нечто подобное http://abonent-pc.ru/ Но я не вникал как именно.

thesis всё правильно расписал про default gateway. То, что подключается только при рестарте сервиса - странно. По идее, он должен всё время пытаться установить подключение, пока не получится. Покрути ping, ping-restart. Если используется TCP - то ещё connect-timeout.