zmień adresację tak aby się nie powtarzała. Jeden ustaw na 192.168.2.0/24 a drugi zostaw tak jak jest na 192.168.1.0/24
wtedy będzie ok.

ops. nie ten post.

miałem kiedyś taki przypadek. Klient ustawiony na port 587 wysyłam maila i zonk. Wkurzam się szukam problemu i nic. robię telnet na 587 i nic. Patrze w log a tu na 25.
Finał taki, że głupi antywirus w tym wypadku avast mimo, że łączyłem się na 587 próbował usilnie na 25 zapukać do serwera. Bo przecież musi skanować maile i mieć wszystko pod kontrolą.
Wyłączyłem skanowanie poczty wychodzącej i było już ok.

Morał z tego taki, że nie wszystkie błędy są wina routera i firewalla na nim

A wracając do tematu
poczta to nie tylko port 25
to również dla smtp
25
465
587
dla pop3
110
995
dla imap
143
993

na routerze możesz zablokować uogólniając porty na dwa sposoby
-pierwszy blokuje dostęp do portów na routerze i TYLKO dostęp do routera - łańcuch INPUT/OUTPUT
-drugi blokuje dostęp do portów przekazywanych przez router - łańcuch FORWARD

jedno nie wyklucza drugiego. Czyli możesz chcieć zablokować port 25 dla FORWARD (przekazywanie przez router pakietów)
ale jednocześnie chcesz aby do routera można było się dostać na port 25 INPUT (np. masz na routerze swój serwer smtp)

Blokowanie portu 25 dls FORWARD uważam za zdrowe. Ten port powinien być wyłącznie do przekazywania poczty miedzy serwerami. Dla klientów poczty typu outlook pozostały porty 465 oraz 587
Dlatego większość operatorów dla dostępu do internetu niekomercyjnego (neostrada itp.) blokuje z automatu port 25 do internetu od klienta.

ta dwa wątki i ten sam temat fajnie

ta literówka dzięki cezary
już poprawiłem

spokojnie nie każdy ma czas na już i teraz i zaraz

iptables -t nat -I POSTROUTING --src 192.168.178.0/24 -o tun+ -j MASQUERADE #twoj nat

#twoje reguly
iptables -t nat -I PREROUTING -d 10.0.2.0/24 -p tcp --dport 8000 -j DNAT --to-destination 192.168.178.5:80
iptables -I FORWARD -i tun+ -p tcp --dport 8000 -j ACCEPT
#te regule ja dodaje choc pewnie nie musiala by byc
iptables -I FORWARD -i tun+ -p tcp --dst 192.168.178.5 --dport 80 -j ACCEPT

#na wszelki wypadek otwieram ruch z lan do openvpn
iptables -I FORWARD --src 192.168.178.0/24  -o tun+ -j ACCEPT

to ostatnie trzeba zobaczyć ale może nie będzie potrzebne

a powinno jeszcze coś takiego banglać

iptables -t nat -I postrouting_rule --src 192.168.178.0/24 -o tun+ -j MASQUERADE
iptables -t nat -I prerouting_rule -d 10.0.2.0/24 -p tcp --dport 8000 -j DNAT --to-destination 192.168.178.5:80
iptables -I forwarding_rule -i tun+ -p tcp --dport 8000 -j ACCEPT
iptables -I forwarding_rule -i tun+ -p tcp --dst 192.168.178.5 --dport 80 -j ACCEPT

iptables -I forwarding_rule --src 192.168.178.0/24  -o tun+ -j ACCEPT

ale nie jestem pewny czy reguły poprawnie się dodadzą znaczy w kolejności jakiej sobie tego ja życzę

jak zrobisz nata to routing niekoniecznie musi być
oprócz nata i prerouting zapomniałeś o FORWARD

jak są w tej samej sieci a klienci o tym wiedzą zrób po prostu nowy config dla obu klientów między nimi
inaczej się nie da w openvpn
albo client-serwer albo client-client ale w obu przypadkach musisz mieć inne configi

stunnel ?

coś mi się wierzyć nie chce, że się nie da. Robiłem to wieloktrotnie fakt, że na starszym backfire ale zawsze działało.

jak wstawiasz sam reguły zwróć uwagę czy w łańcuchu nic nie ma. Inaczej raczej zamiast A stosuj I no zmień kolejność ładowania reguł. A reszta jak cezary zauważył.

A tak w ogóle jak klient zmieni sobie adres MAC to pewnie wyjdzie na neta

opakuj start clietna vtun w /etc/ppp/ip-up.d oraz /etc/ppp/ip-down.d

zrób własny skrypt startowy i z niego wygeneruj plik vtun.conf klienta podstawiając adres ip który został nadany w czasie logowania do sieci
na końcu skryptu wywołaj vtun jako klient z plikiem konfiguracyjnym który przed chwilą wygenerowałeś

Jak padnie łącze to wykorzystaj ip-down.d do skilowania vtun

Zmienne masz opisane
http://ppp.samba.org/pppd.html

patrz zmienne IPLOCAL i IPREMOTE

podziel po obu stronach sieć  na dwie podsieci
192.168.1.0 - 192.168.1.127
192.168.1.128 - 192.168.1.255

maska 255.255.255.248

sieci: 192.168.1.0
192.168.1.128

broadcast
192.168.1.127
192.168.1.255

na obu routerach postaw dhcp dla swojej podsieci

Będziesz miał ciągłość