Dzięki za odpowiedź.
Niestety, nie udało mi się poprawnie skonfigurować sieci "iot".
Problem mam już na etapie nawiązania połączenia z routerem.
Kiedy próbuję podłączyć komputer kablem do portu przeznaczonego dla 'iot' komputer wykrywa przyłączenie kabla ale nie potrafi nawiązać połączenia - tak jakby nie potrafił dogadać się z serwerem DHCP.
Z kolei jeżeli ustawię w komputerze statyczny adres IP, to połączenie niby się nawiązuje, ale nie jestem w stanie połączyć się z internetem. Nie działa nawet ping.
Na pozostałych portach, przypisanych do LAN-u połączenie nawiązuje się bez problemów i internet śmiga aż miło.

Czy jest jakiś sposób aby sprawdzić co jest przyczyną problemów? DHCP? Firewall? Na komputerze mam zainstalowane Ubuntu, więc pewnie jakieś narzędzia do diagnostyki się znajdą.

EDIT: na routerze mam zainstalowane Gargoyle 1.10.

Cezary,
czy mógłbyś zmodyfikować interfejs Gargoyle tak, aby osobno włączać filtrowanie MAC dla wifi domowego, a osobno dla wifi gościnnego?

Pomogło. Dziękuję za porady.

Zalogowałem się przez SSH
zrobiłem:

opkg install
opkg install plugin-gargoyle-theme-light

Pakiet ze skórką zainstalował się poprawnie.
W GUI pojawiła się opcja wyboru motywu (System >> Motywy). Przełączyłem i wszystko działa OK.

Odpwiedź na moje pytania / problemy jest następująca:

Komenda push "dhcp-option DNS 208.67.222.222" po stronie serwera powoduje, że do klienta wysyłany jest adres serwera DNS.
Adresy serwerów DNS są zapisywane przez klienta pod postacią zmiennych środowiskowychj foreign_opton_1, foreign_opton_2 itd.
OpenWRT sam z siebie nie uwzględnia tych adresów, potrzebne są specjalne skrypty, uruchamiane podczas startu openvpn, które czytają parametry ze zmiennych foreign_option_n i na tej podstawie modyfikują plik /tmp/resolv.conf.auto
Przykłady takich skryptów można znaleźć na stronie [link]https://forum.openwrt.org/t/openwrt-as- … ns/36206/5[/link]

W moim przypadku zmyliło mnie to, że jeden z routerów działał prawidłowo. Okazało się jednak, że wcale nie korzystał z jakichś wbudowanych w Gargoyle skryptów rozpoznających polecenia "push dhcp-option", a po prostu w czasie pierwszego uruchomienia routera ustawiłem w nim korzystanie z serwerów Open DNS, które przez przypadek są takie same jak serwery rozgłaszane przez mój serwer OpenVPN (208.67.220.220 i 208.67.222.222).

Podsumowanie
Po uruchomieniu tunelu OpenVPN przestają działać serwery DNS Play (185.89.185.2 i 89.108.195.21)
W celu normalnego korzystania z internetu należy sobie ustawić na routerze jakieś inne serwery DNS

W przypadku Gargoyle sprowadza się to do wejścia w menu:  Konfiguracja >> Podstawowa >> Sieć lokalna / LAN >> Serwery DNS
Nastepnie trzeba zmienić "Domyślne serwery DNS od ISP" na "OpenDNS".
Działa też zmiana na "Google"

Specjalnych skryptów do modyfikacji pliku resolv.conf.auto nie instalowałem, bo nie było sensu tracić czasu na poprawę czegoś, co działa dobrze.

Mam pytanie:
w jaki sposób tworzony jest plik /tmp.resolve.conf.auto ?
Jak to rozwiązano w OPenWRT a jak w Gargoyle?

Cezary,
mam podobny układ jak fido to jest
serwer NAS (serwer OpenVPN) --> router Gargoyle ---->  internet ---modem USB ---> router Gargoyle (klient VPN) --> kamera.
Postawiłem w 2015, poszło "od strzału" - tzn. na podstawie plików konfiguracyjnych OpenVPN skopiowanych z klienta linuksowego.
Nic nie zmieniałem w firewallu, ani w Gargoyle 1.6, ani w 1.10.
Czy to oznacza, że w Gargoyle z góry zdefiniowałeś te wszystkie reguły firewalla / przekierowania, a jak ktoś korzysta z LuCi to je musi sobie wpisać z palca ?

KROK 2 - wygenerowanie certyfikatów

Jednym z głównych założeń OpenVPN jest autoryzacja połączonych urządzeń za pomocą certyfikatów, czyli swojego rodzaju podpisu elektronicznego.
Jeżeli korzystamy z płatnego serwisu OpenVPN, to odpowiednie certyfikaty oraz plik konfiguracyjny otrzymamy od dostawcy usługi. Natomiast gdy uruchamiamy serwer OpenVPN, to sami dla siebie jesteśmy dostawcami i sami musimy sobie wygenerować potrzebne certyfikaty.

Jeżeli router, na którym uruchamiasz OpenVPN ma system oparty na Gargoyle, to tworzenie certyfikatów jest bardzo proste i sprowadza się do kilku kliknięć w interfejsie graficznym. Zakładam jednak, że jeżeli czytasz ten tekst to masz router z oprogramowaniem OpenWT / LuCi i musisz wygenerować potrzebne certyfikaty "ręcznie", to jest w trybie tekstowym.

Dla wszystkich, którzy czują się nieswojo w trybie tekstowym przygotowałem ten materiał, bogato ilustrowany zrzutami ekranu.  W gruncie rzeczy jest to jednak powtórzenie kroków opisanych przez Cezarego w jego obszernym tutorialu.

Uwaga !!!:  W OpenWRT 19.07 zastosowano nową wersję easy-rsa (wersja 3.x) Opisana tutaj procedura tworzenia certyfikatów różni się od tej, wymaganej dla easy-rsa w wersji 2.x

Tworzenie certyfikatów

1. Logujesz się do routera przez SSH / putty

2. Sprawdzasz, gdzie znajduje się pakiet openvpn-easy-rsa służący do tworzenia certyfikatów. W terminalu wydajesz polecenie:
opkg files openvpn-easy-rsa

3. Jak widać na obrazku poniżej, większość plików znajduje się w katalogu /etc/easy-rsa.

4. Musisz przenieść się do tego katalogu za pomocą polecenia:  cd /etc/easy-rsa
Następnie resetujesz ustawienia easy-rsa poleceniem easyrsa init-pki. Krok ten zwykle wykonuje się tylko raz – podczas pierwszego uruchomienia pakietu. Ponowne wykonanie tego polecenia spowoduje skasowanie bazy dotychczas wystawionych certyfikatów.

5. Program wyświetla ostrzeżenie o tym, że wszystkie dotychczas wygenerowane certyfikaty zostaną usunięte. Aby zatwierdzić piszesz yes

6. Program wyświetla informację, że nowo utworzone klucze będą zapisywane w katalogu /etc/easy-rsa/pki

7. Teraz musisz wygenerować plik Diffie-Hellman (z grubsza biorąc, jest to plik służacy do uzgadniania kluczy szyfrjących między serwerem a klientem). Domyślna długość klucza, tj. 2048 bitów była uznawana za bardzo dobrą kilka lat temu. Obecnie uznawana jest za wystarczającą, jednak w perspektywie kilku kolejnych lat trzeba będzie zwiększyć długość do 4096 bitów.
Plik tworzy się wydając polecenie easyrsa gen-dh

8. Teraz możesz iść na kawę. Tworzenie pliku może trwać od 20 minut do godziny. W tym czasie na ekranie wyświetlają się kropki, a czasami plusiki. To normalne. Gdyby program się zawiesił, to by ich nie wyświetlał.

9. Po wielu, wielu minutach . . .wyświetla się komunikat o utworzeniu pliku

10. Teraz generujesz certyfikat CA (to taki certyfikat główny)
Wydajesz polecenie easyrsa build-ca nopass

11. System zgłasza błąd "Can't load /etc/easy-rsa/pki/.rnd" ale rusza dalej. Według informacji z internetu błąd jest nieszkodliwy i zostanie naprawiony w kolejnych wydaniach easy-rsa.

12. Należy jeszcze wypełnić pole Common Name

13. Wpisałem sobie lukasz-ca ty możesz go nazwać jakc hcesz, np. moje-ca   

14. Gotowy certyfikat CA znajduje się w /etc/easy-rsa/pki/ca.crt

15. W kolejnym etapie należy utworzyć certyfikat dla serwera.
Wydajesz polecenie easyrsa build-server-full serwer nopass
Opcja nopass oznacza, że certyfikat nie będzie zabezpieczany dodatkowym hasłem

16. Komunikat o prawidłowym wygenerowaniu certyfikatu serwera.

17. Teraz pora wygenerować certyfikat dla klienta.
Wydajesz polecenie easyrsa build-client-full nazwa_klienta nopass
W załączonym przypadku nazwa klienta to po prostu client1
Opcja nopass oznacza, że certyfikat nie będzie zabezpieczany dodatkowym hasłem

18. Komunikat o prawidłowym wygenerowaniu certyfikatu klienta.

19. Kolejny klient będzie miał nazwę laptop. Brak opcji nopass sprawia, że certyfikat będzie zabezpieczony hasłem

20. System zapyta o hasło do certyfikatu.

21. Komunikat o prawidłowym wygenerowaniu certyfikatu klienta.

22. ANULOWANIE CERTYFIKATU
Jeżeli certyfikat zsotał wystawiony przez pomyłkę, lub utraciliśmy urządzenie (telefon, tablet) z wgranym certyfikatem, to taki certyfikat należy anulować.
Służy do tego polecenie easyrsa revoke nazwa_klienta.
W poniższym przykładzie anulujesz certyfikat klienta lukasz2

23. System poprosi o potwierdzenie anulowania certyfikatu. Potwierdź wpisując yes

24. Certyfikat został anulowany. Teraz trzeba jeszcze zaktualizować listę anulowanych certyfikatów, czyli Certificate Revocation List

25. W tym celu musisz wydać komendę easyrsa gen-crl

26. Lista anulowanych certyfikatów została zaktualizowana. Należy ją jeszcze przegrać do katalogu z plikami serwera OpenVPN - domyślnie jest to /etc/openvpn/

27. Polecenie skopiowania listy: cp /etc/easy-rsa/pki/crl.pem /etc/openvpn/crl.pem

To by było na tyle Dziękuję za przeczytanie i proszę o uwagi

Dzięki wielkie.
Innym tez to może się przydać

Rozważałem wykorzystanie połączenia szeregowego do komunikacji z Arduino, ale na razie dałem sobie spokój.

Dla celów szkoleniowych.
Szczególnie interesuje mnie to, czy komputery w różnych sieciach widzą się / łączą się / przesyłają pliki / drukują itp.

Udało mi się np. uzyskać połączenie:
Komp --wifi--> router1 --kabel--> router2 --LAN--> serwer VPN ---> internet ---> modem USB --> router3 z klientem VPN --> kamera internetowa

Przy okazji: poszukuję tutoriala na temat jak udostępnić AirPrint przez VPN