Już sobie chyba poradziłem. Może opiszę co zrobiłem bo może powinno się to robić inaczej?
1. Skonfigurowałem klienta vpn z opcją route-noexec żeby nie tworzyło domyślnego routingu przez vpn
2. W /etc/config/network dodałem

config interface 'VPN_client'
        option proto 'none'
        option ifname 'tap0'

3. W /etc/config/firewall dodałem

config zone
        option name 'VPN_client'
        option masq '1'
        option input 'ACCEPT'
        option forward 'REJECT'
        option output 'ACCEPT'
        option network 'VPN_client'

config forwarding
        option dest 'VPN_client'
        option src 'lan'

4. W /etc/iproute2/rt_tables dodałem wpis

10      vpn

5. Potem tylko uruchamiam ręcznie skrypt:

#!/bin/sh
ip rule add from 10.0.0.10 table vpn
ip rule add from 10.0.0.11 table vpn
ip route add default via 172.29.0.1 dev tap0 table vpn
ip route flush cache

10.0.0.10 i 11 to ip tableta i telefonu a 172.29.0.1 to brama vpn
Jeszcze tylko nie wiem jak uruchomić ten skrypt po podniesieniu interfejsu tap0
Po takich operacjach komputer na stronie sprawdzającym ip komputer ma ip mojego dostawcy natomiast tablet i telefon ip vpn