Всё понил, пополз пробовать. Истина где-то рядом!
Правильно, за исключением порядка операций. vde_switch -tap tap1 -tap tap2 - для KVM vde_pcapplug tap0 - для VPN Т.е. сначала делаем свитч, а потом втыкаем туда tap0; а наоборот не получится.