A ja to zrozumiałem tak:
@michal_ ma za klientem VPN sieć LAN 192.168.3.0/24 oraz jego adres WAN pochodzi z modemu Hilink z sieci 192.168.8.0/24
wpis w ccd dla klienta VPN:

jest poprawny ponieważ sieć x.x.3.0 jest na LANie tego klienta, a ten wpis informuje serwer VPN do którego klienta VPN ma przekierować ruch do sieci x.x.3.0

Jeśli chodzi o odpytanie przez tunel modemu Hilink, który jest na WAN-ie, to jeżeli zostawisz wpis:

to powinieneś na kliencie VPN zrobić forward między vpn => wan bo będziesz wychodził z tunelu do modemu, który jest na WANie.

lub
skasuj ten iroute 192.168.8.0..... z pliku ccd oraz route ......8.0 z konfigu serwera i odwołuj się przez przekierowanie adresu klienta tunelu np 10.0.1.20:65080 => 192.168.8.1:80
czyli każdy klient VPN wpisując adres 10.0.1.20:65080 powinien dostać się na Hilinka na WAN-ie. przekierowanie robisz tylko na tym jednym kliencie VPN.

ogólnie konfiguracja serwera VPN wygląda wg mnie przyzwoicie jeśli chodzi o trasy, ponieważ serwer VPN wie, że sieci x.x.2.0 x.x.3.0 oraz x.x.8.0 są za klientami VPN i sobie dopisuje do swojej tablicy routingu odpowiednie trasy przez tunel (route ....) oraz wysyła wszystkim klientom trasy przez tunel, do wszystkich podsieci (push route...)

2. Odnoszę się do wpisów route i push "route..." dla tych samych sieci

route 192.168.2.0 255.255.255.0
route 192.168.3.0 255.255.255.0
route 192.168.8.0 255.255.255.0
push "route 192.168.1.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
push "route 192.168.3.0 255.255.255.0"
push "route 192.168.8.0 255.255.255.0"

Czy klient [C2] nie ma dwóch tras do podsieci 192.168.3.0/24?

Dobra, zapomnij na razie o tym przekierowaniu. Zrób tak jak napisałem w pierwszej swojej wersji czyli:
1. serwer - wysyła klientom VPN trasę do hilinka i dopisuje sobie trasę do hilinka (plik z główną konfiguracją serwera VPN)

    route "192.168.8.0 255.255.0.0"
    push "route 192.168.8.0 255.255.0.0"

ccd-client2 (plik ccd dla klienta C2 na serwerze VPN)

    iroute 192.168.8.0 255.255.255.0
    iroute jego własnej sieci LAN 

2. na kliencie C2 w /etc/config/firewall

...
    config forwarding
        option src              'openvpn'
        option dest             'wan'
        option family       'ipv4'

sprawdziłem jeden klient VPN na Orange a drugi klient VPN przez PLAY i ten z Orange może np. wyłączyć internet temu z PLAY przez WebUI
W przeglądarce wpisałem adres hilinka z PLAY. Oba Hilinki muszą mieć adresy z innych sieci np. 192.168.5.1 i 192.168.8.1 ale to chyba oczywiste oraz ich adresy nie mogą się pokryć z żadnym adresem sieci LAN za klientami VPN.

EDIT: moim zdaniem trochę źle robiłeś przekierowanie. Zamiast src_dport wpisałeś src_port. Przecież to Ty chciałeś dostać się na port 8080 a nie, że Twoje zapytanie zostało wysłane z portu 8080.
Nie spodziewałem się że Hilinka masz na LAN-ie. Większość ma na WAN-ie bo z niego ciągnie Internet.
Mogłeś uprzedzić że jest myk tego typu.

EDIT2: nie wiem po co w firewallu w strefie VPN masz ustawione "masq". Chyba że chodzi o to, że nie masz WAN-a

EDIT3: pamiętaj że wysyłając SMS-y modem przełączy się z LTE na 3G i straci na chwilę łączność i być może zerwie tunel. Chyba że ustawisz go na sztywno w technologii 3G lub UMTS (zależy jak masz opisane)

Jeszcze zapomniałem sie spytać. W jakim poradniku przeczytałeś że przekierowanie robi się:

A jeżeli masz Hilinka na LAN-ie to nie robisz przekierowania, tylko bezpośrednio uderzasz tam gdzie chcesz i na jaki port chcesz.
EDIT: przez to wszystko to ja się zakręciłem. Przekierowanie z VPN na LAN ewentualnie mogłoby być bo to inne strefy. Zasugerowałem się że wszystko jest w LAN...

Ja już napisałem co zrobiłem u Siebie. Moje ustawienia to Hilink na WAN-ie, brak opcji "masq" dla strefy VPN w firewallu.

I nie odchodź od zmysłów tylko ... dobrze się wyśpij, żebyś nie miał "ciężkiej" głowy i wtedy zrobisz to sam.
A jak nie, to to musisz pytać kogoś innego, kto robił tunel nie mając WAN-u.

ktoś, kto tam siedzi, musiałby po firstboocie najpierw skonfigurować dostęp do internetu przez Hilinka, a potem np to: https://eko.one.pl/?p=openwrt-sshtunnel
Jeżeli są to starsi ludzie/rodzice to raczej można zapomnieć.

W każdym bądź razie ja zastosowałem poradnik Rafała (rpc.one) dostosowując adresację swoich sieci co do klientów i serwera oraz na kliencie forward VPN=>WAN

na tym moim kliencie akurat jest CC.

Twój serwer pomimo, że na BB to chyba nie robi problemu, bo jednak możesz z klienta C1 wbić się na stronę innego routera, więc dobrze robi trasowanie w sieci -net30 VPN (bo chyba taką masz). Narazie ja bym go nie ruszał.

czyli podejrzewasz LEDE...? hmmm

EDIT: Sprawdziłem na kliencie z LEDE Reboot (17.01-SNAPSHOT, r3566-98c003e) oraz openvpn-openssl - 2.4.3-2 i normalnie działa.

Z tym, że niektórzy mieli problemy z tunelem (niby łączył ale nie było komunikacji) z powodu niekompatybilności comp-lzo, ponieważ stara wersja openvpn np 2.3.x (z BB) obsługuje wpis comp-lzo natomiast klient LEDE na nowej wersji openvpn 2.4.x powinien mieć wpis
compress lzo - jeżeli używasz tego parametru.
Bo nie wiem co Ci napisać skoro masz tak jak poradnik Rafała z rpc.one.pl +

#dostęp do stony www Hilinka przez tunel po wpisaniu na innym kliencie jego prawdziwego adresu.
config forwarding
        option src              'openvpn_tun0'
        option dest             'wan'
        option family           'ipv4'

# dostęp do LUCI przez tunel po wpisaniu adresu br-lan lub tun0
config rule
        option src              'openvpn_tun0'
        option proto            tcp
        option dest_port        80:443
        option family           ipv4
        option target           ACCEPT

Dokładnie mam podobnie tyle, że inna adresacja Lan-ów + te niestandardowe wpisy o których pisałem w #63 ponieważ mam w strefie VPN input i forward na REJECT.

Popraw koniecznie w pliku ccd dla klienta wpis ifconfig-push 10.0.1.10 10.0.1.11 na

ifconfig-push 10.0.1.9 10.0.1.10

ponieważ w sieci net30 masz podsieci:
0, 1-2, 3
4, 5-6, 7
8, 9-10, 11
12, 13-14, 15
... itd ...

gdzie pierwsza cyfra to adres sieci net30, druga to tunel klient-serwer,  trzecia to broadcast sieci.
Do pliku ccd liczą sie TYLKO numerki ze środkowej kolumny.

pisałem Ci w swoim poście #57 w pierwszym EDIT: że źle robisz przekierowanie co do składni. Przecież TY nie wychodzisz z tym pytaniem ze swojego portu 82 (src_port) tylko TY pytasz o stronę która ma być na wirtualnym porcie 82 czyli src_dport który potem będzie przekierowany.
Poza tym Twoja reguła jakby zezwala na pewien ruch, ale czy aby na pewno robi przekierowanie?
słowo rule =//= redirect
W ogóle nie czytasz poradników:
https://eko.one.pl/?p=openwrt-konfigura … nykomputer

A tak w ogóle to zmień sobie w tym Hilinku adres na 192.168.80.1 i dopisz na serwerze w odpowiednim pliku ccd

iroute 192.168.80.0 255.255.255.0

oraz w głównym konfigu serwera:

route 192.168.80.0 255.255.255.0
push "route 192.168.80.0 255.255.255.0"

będzie szybciej   (bo znów wkradną się jakieś głupie błędy, literówki i będzie kolejne kilka stron o niczym)
EDIT: tylko nie mów że Twój Hilink nie obsługuje zmiany adresu...

Zrobiłem teraz rano konfigurację (dodanie routingu, nie przekierowanie) w podobny sposób jak @mar_w przedstawiał - dobrze jest, działa: http://eko.one.pl/?p=openwrt-openvpntun … inkklienta

Lub zastosowanie reverse proxy. Tak też można.