>      The tinc init command will have generated
> both RSA and Ed25519 public/private keypairs.  

Мне не надо BOTH. Весь пойнт DJBшной крипты - в том что критичный криптокод небольшой, проверенный и зависимостей мало. А этот ваш RSA подразумевает что оно будет от openssl и всех его дыреней зависеть, а в хучшем случае ремота может еще и покормить запросами на счет RSA, после чего процессор очень крепко займется вычислениями с Big Int.

>            tinc
> -n NETNAME generate-ed25519-keys

Это совершенно не отвечает на вопрос: может ли он уже быть маленьким, аккуратным, и без зависимостей от черти-каких стремных внешних либ типа openssl.

Смотри, минимальный 25519+Salsa20+1305 вообще в виде tweetnacl занимает смешной объем кода (его наизусть можно выучить) и это таки совместимо с NaCl. А если скорость капец как важна можно оптимизированный libsodium взять, но он уже все-же монстр. А теперь покажите мне этот фокус для RSA... и не надо пожалуйста #include'ов openssl.h или как его там, это сразу +100500 к дырявости.

А так если надо именно GFW и прочие гестапо с носом оставить - у китайцев для этого есть на гитхабе сетевые инструментарии которые на световые годы впереди мягкотелых западных VPNов. Там очень интересные штучки попадаются.