Как бы вы защитили sudo от самого пользователя?

Не тот ответ, который я надеюсь принять, так как он требует настройки вне сети, но он обеспечивает надежную маршрутизацию IPv6:

~ $ cat /etc/systemd/system/ipv6-routing.service 
[Unit]
Description=Setup ipv6 routing
After=network-online.target
Requires=network-online.target

[Service]
Type=oneshot
ExecStart=/usr/bin/ip route add default via fe80::1 dev eth0
RemainAfterExit=true

[Install]
WantedBy=multi-user.target