konstantinov-ms,
SAL_USE_VCLPLUGIN=gtk
это не правило, это присвоение переменной окружения в шелл-коде. А поскольку шелл-код это язык программирования, всё зависит от вашей фантазии :)

Если вы экспортируете её только для libreoffice – можете просто его перезапустить, в простейшем случае так:
SAL_USE_VCLPLUGIN=gtk libreoffice
Если вы экспортируете её при запуске иксов – перезапустите иксы.
Если вы экспортируете её при загрузке системы – перезапускайте систему, кто ж виноват.
Линукс позволяет произвольно менять MAC-адрес и даже создавать на одной сетевой карте несколько виртуальных с разными MAC-адресами.
В простейшем случае смена MAC-адреса (до следующей перезагрузки) делается командой вида
ip link set eth0 address 01:23:45:67:89:ab

Однако, я бы посоветовал лучше поставить роутер, и настроить интернет на внешний (WAN) MAC-адрес роутера. После этого интернет будет раздаваться с вашего роутера хоть одновременно – и на комп по кабелю, и на ноут по вайфаю, и безо всяких извращений со подменой MAC-адресов.
Если используется загрузчик вроде GRUB, то EFI-раздел монтируется в /boot/efi , и в него устанавливается только сам загрузчик.

Если вы хотите грузить ядро прямо из EFI, придётся изворачиваться, поскольку UEFI не будет брать ядро из корневого каталога раздела, и чтобы нужный каталог оказался у вас в /boot , приходится сначала смонтировать EFI-раздел в какое-то другое место, например /esp , а потом каталог EFI/arch из него, который у вас после этого будет в /esp/EFI/arch , биндить в /boot , чтобы при обновлении ядра оно сразу попадало куда надо.

Копирование ядра из /boot в EFI-раздел, которое вы привели, вообще плохой вариант, потому что вам придётся повторять эту процедуру после каждого обновления ядра либо initramfs.
У меня иксы последние, никаких проблем с буфером обмена нет.
Эдакие баг-коллекторы, которые будут находить разработчиков и выбивать из них патчи? :)

Ну кто ж за нас работать будет... Всё сами, ручками.
В принципе, мейнтейнеры дистрибутива могут брать на себя такую функцию, но опять же, не обязаны.
И уж во всяком случае, связаться с автором той или иной программы напрямую, как правило, гораздо быстрее и лучше, чем добиваться чего-то через "испорченный телефон".
В libreoffice добавили возможность использования тем gtk3, а в Арче поспешили собрать под версию, которую некоторые предпочли откатить.
Чтобы принудительно выбрать оформление gtk2, нужно передать либреофису любым способом переменную окружения
SAL_USE_VCLPLUGIN=gtk
и станет всё как раньше.
Нет, это не лечится :)
SNAT это подмена адреса отправителя.
Если вы меняете адрес на свой, вы получите ответ на свой адрес.
Если вы меняете адрес на чужой – ответ получит тот, чей адрес вы подставили.
Если вы пингуете другой хост, подставляя в качестве адреса отправителя его же собственный адрес, этот хост будет слать ответы, разумеется, сам себе.
Ядро вместе с модулями обновляется на диске, в памяти до перезагрузки остаётся старое, новые модули к нему не подходят.

Если при перезагрузке продолжает загружаться старое ядро, скорей всего, кто-то перемудрил с бут-разделом, он не был смонтирован во время обновления, и ядро загружается не оттуда, где обновилось.
"Вырезание голоса" означает, что вы каким-то образом слышите разность левого и правого каналов. В некоторых программах при специфических настройках такая функция поддерживается штатно, но самый распространённый случай – обрыв общего провода, после чего оба наушника "повисают" между каналами и воспроизводят разность сами по себе, безо всяких программных ухищрений.
man iptables-extensions
   owner
This module attempts to match various characteristics of the packet creator, for locally
generated packets. This match is only valid in the OUTPUT and POSTROUTING chains. For‐
warded packets do not have any socket associated with them. Packets from kernel threads do
have a socket, but usually no owner.
Тут написано прямо, что модуль owner работает только с локальными исходящими пакетами, то есть теми, которые отправляет пользователь. Только у таких пакетов есть принадлежность к определённому пользователю, остальные пакеты "ничейные".
Соответственно, запретить или разрешить в зависимости от пользователя можно только исходящие, а не входящие. Однако, речь идёт именно об отдельных пакетах, а не соединениях. Поскольку iptables позволяет ставить метки на соединения, в принципе, можно реализовать блокировку второго и последующих пакетов входящего соединения, если на него отвечает определённый пользователь. Заблокировать первый пакет входящего соединения только для заданного пользователя средствами именно iptables не получится, здесь надо использовать другие механизмы.

Если вы хотите ввести негативное правило по владельцу пакета, то есть срабатывающее на всех, кроме него, восклицательный знак ставится перед --uid-owner, а не перед -m owner:
-A OUTPUT -m owner ! --uid-owner bad_user -j ACCEPT

Также у вас не выйдет использовать в iptables имена хостов, потому что у пакетов их просто нет, есть только IP-адреса отправителя и получателя. Поскольку у одного имени хоста может оказаться больше одного IP-адреса, вам придётся заранее преобразовать список хостов в список IP, а потом уже генерировать правила по IP.

Использовать в скрипте, генерирующем правила для iptables, многократный вызов этой команды не рекомендуется, потому что каждая команда iptables вызывает пересборку и применение всех правил в таблице. Загрузка сотни-другой правил таким способом может занимать порядка минуты даже на мощном сервере.
Вместо этого имеет смысл с помощью команд echo отправить все правила на стандартный вывод, и перенаправить всё вместе на ввод команды iptables-restore