а вот ответ про проброс USB

1. Есть возможность монтировать / в ro. Есть NanoBSD, которая именно под такую инсталляцию заточена, хотя как по мне она местами устарела и не поддерживает ZFS. Но скоро будет.
Второй вариант, возможно для некоторых задач более практичный это монтировать в rw, но держать снапшоты и/или клоны. Это очевидно на ZFS.
2. Такого как в Windows нет. Но можно запускать приложения от конкретных пользователей и в ipfw/pf запрещать соединения соответственно конкретным пользователям.
3. Не знаю ничего про fsarchiver, но кмк на любой ОС, которая работает на ZFS не нужно ничего кроме zfs send/zfs recv. Работает со скоростью дисков. То есть голая система инсталлируется за секунды.

Про GUI ничего не могу сказать, так как сам не пользуюсь. Мне кажется с ними всё намного хуже. Мне кажется, что если хочется GUI для сугубо системных утилит, то может быть надо оставаться на Linux.

Это не совсем правильный ответ. Первое утверждение верно, второе нет. Любой USB контроллер сидит на PCI шине, ему не надо быть картой. Обычно на современной матери минимум два контроллера, а иногда три. Один можно пробросить в bhyve. Всегда так делаю.

А есть вообще гипервизоры, где проброс USB порта будет работать безупречно? То есть буквально любое устройство втыкаешь и оно работает. Мне кажется нет. Ведь если посмотреть сорцы USB то там сплошной quirk на quirk-е сидит и quirk-ом погоняет. И для того, чтобы глючное железо завелось, драйвер должен честно видеть и контроллер с его глюками и устройство с его глюками.

Вообще тенденция намного хуже. Я давеча смотрел в линуксовый драйвер XHCI для новых чипсетов AMD и там драйвер XHCI ищет драйвер SMBus, смотрит какая там версия железа и на основании этого принимает решение о включении quirks на XHCI. А вы говорите порт пробросить!

Кстати, нафига я туда смотрел? Потому что у меня новейший чипсет AMD, на котором звук на USB и он не работает. И я пытался это победить. Входе просмотре линуксового драйвера стало понятно, что этот чипсет он не распознает, а значит тоже звук не заведётся, можно даже не пробовать линукс запустить. Но под Windows конечно всё работает. ОДНАКО, если Windows запустить в bhyve и отдать ему USB контроллер на котором звук, то Windows звук увидит, но не сможет его запустить. То есть, предполагаю, что Windows тоже хочет посмотреть на прочие устройства за пределами USB контроллера, чтобы понять как себя вести. То есть даже контроллер пробросить может быть недостаточно.

Кстати, нету. Только vrrp — пакеты vrrpd, keepalived

5. Поднять tor-демон и указать его проксей для браузера

это не проблема,почему то на тестовой виртуалке на фряхе, nfs на лине ругался на другую версию

ну вот поэтому и вопрос - что тут называть линуксом. Тк CARP есть, если не иметь ввиду ядро: http://manpages.ubuntu.com/manpages/jammy/man8/ucarp.8.html  - я это пару лет уже на лине использую. Так то keepalived тоже нету обычно в базе и он точно также ставится как и ucarp,через пакеты.

corosync-и/pacemaker-ы всякие тоже обычно со стороны

Да там даже dot1Q со стороны

Привет всем, подскажете как проще Let's Encrypt сертификат  получить? без установки портов и certbot

а зачем тебе на голой системе сертификат?

Зачем это делать без сертбота? Все равно его обновлять каждые 3 месяца

клиент по фрилансу щас, у него сайт на php и /usr/ports отсутствует

обновлять на dehydrated тоже можно

просто ща ставить порты и всю разработку

pkg/pip/lego(go)