[Comm] wireguard только для некоторых программ

[Andrew G. Klepcha]

всем привет!
прошу помощи в поиске решения или хотя бы направления куда копать в 
altlinux p11
суть проблемы: есть несколько программ и сервисов ("санкционеры"), 
которые не работают или частично не работают из-за западных санкций. для 
обхода использую wireguard со своим сервером в us. сейчас работает так: 
включен wgus => санкционеры работают, но весь мой трафик идет тоже через 
wg в штаты. а хочется, чтобы по умолчанию трафик шел через моего 
оператора впрямую, а только эти "санкционеры" работали через туннель. я 
попробовал сделать network namespace и в него засунуть интерфейс 
wireguard. в таком варианте задумка работает, но только от рута :(
демонстрация (curl как пример):

andrew на G1 ➜  ~ curl https://ifconfig.me; echo
возвращается: ip, выданный моим оператором

[root на G1 ~]# ip netns exec wgus-selective curl https://ifconfig.me; echo
возвращается: ip моего штатовского сервака

andrew на G1 ➜  ~ ip netns exec wgus-selective curl https://ifconfig.me; echo
setting the network namespace "wgus-selective" failed: Operation not 
permitted

запускать от рута весь этот зоопарк "санкционеров" я не хочу. что можно 
сделать? и является ли этот запрет доступа к сетевому пространству имен 
для пользователя альт-специфичной штукой или так везде?