Hatte Ich auch schon ausprobiert .......
Unter W10 ist es bei Mir jedenfalls so gelöst das Ich neben dem VPN Client (basiert auf OpenVPN) von Perfect Privacy Glasswire laufen lasse (vorher Zonealarm Firewall Free) und somit alles Client Basiert aufs wessentliche filter.
Wenn Android nur eine VPN Verbindung zuläst würde wohl in der Regel auch Root nix ändern (mit Ausnahme spezieler Custom Rom die dies als Feature eventuel bietet falls existent) und der Einzige weg ging in Richtung externen Mobile Router / Firewall Combo vorgesetzt .........
Dahin gehend hatte Ich Mir auch mal Gedanken gemacht aber es fehlt eigentlich an a.) offener und b.) bezahlbarer Hardware
RADXA Zero ging eigentlich in die Perfekte Richtung da die CPU auch AES unterstützt (der Raspi immer noch nicht) für eine externe wie freie Mobile Router/Firewall Lösung ABER es fehlt noch eine Pro Edition mit Wifi6-E da hier leider bei 5G das Wifi 5 an die Grenzen kommen wird Mittelfristig.