Кроме того, что я написал выше (установка модуля ядра на хосте), ничего больше не нужно. В контейнере потребуется только пользовательский набор инструментов wireguard для настройки интерфейсов.

Я бы тоже хотел это проверить, очень интересуюсь Wireguard. Нужно ли какие-то специальные настройки LXC, чтобы это заработало?

Если вы супер-параноите насчёт запуска в ядре хоста, но при этом не хотите жертвовать памятью ради виртуальной машины, существуют реализации Wireguard в пространстве пользователя, такие как wireguard-go или BoringTun от Cloudflare (который, говорят, работает лучше по производительности). Минус в том, что никакая реализация в пространстве пользователя не будет работать так эффективно, как запуск в ядре, конечно. Хотя я не уверен, какова производительность ядра внутри виртуальной машины, возможно, пространство пользователя в контейнере всё же быстрее, чем ядро в виртуалке.