Właściwie nie ma się czym chwalić:
config network:

config interface 'loopback'
        option ifname 'lo'
        option proto 'static'
        option ipaddr '127.0.0.1'
        option netmask '255.0.0.0'

config globals 'globals'
        option ula_prefix 'fd7c:8413:6e98::/48'

config interface 'lan'
        option type 'bridge'
        option ifname 'eth0'
        option proto 'dhcp'

openvpn:

config openvpn 'home'
        option enabled '1'
        option dev 'tun0'
        option port '1194'
        option proto 'udp'
        option log '/tmp/openvpn.log'
        option verb '3'
        option ca '/etc/openvpn/ca.crt'
        option cert '/etc/openvpn/serwer.crt'
        option key '/etc/openvpn/serwer.key'
        option server '10.8.0.0 255.255.255.0'
        option topology 'subnet'
        option dh '/etc/openvpn/dh.pem'
        list push 'route 192.168.2.0 255.255.255.0'

Firewall tymczasowo wyłączony. Obecnie główny router, brama i ServerDHCP to Tomato. Port 1194 jest przekierowany na klienta OpenWRT (HPek), który dostaje stałe IP (192.168.2.25). I właściwie chyba tyle. Czy coś jeszcze pokazać?

Firewalla nie ruszałem, tylko go wyłączyłem, bo myślałem, że to on blokuje.
Właśnie docelowo chciałem to zrobić w sieci za Funboxem z Orange, a na nim serwera OpenVPN nie postawię Dlatego testuję to w sieci domowej. Tym samym stawianie tego na Tomato nie jest docelowym rozwiązaniem.

Czułem właśnie, że to rozwiązanie jest za proste i gdzieś jest błąd logiczny.
@Cezary podpowiesz, gdzie szukać rozwiązania?

Dzięki, może ktoś jeszcze przerabiał takie rozwiązanie?

Trochę dłubania na końcówkach, a na gateway nie będę mógł nic zmienić poza przekierowaniem portu. Myślałem, że będzie to prostsze.
Popróbuję, thx.

Dzięki, gdzieś umknął mi ten wątek, bo nawet go wcześniej znalazłem.

Ad 1. Ano po to, żeby nie było 2 serwerów DHCP w jednej sieci LAN. Jest to konfiguracja serwera OpenVPN, który jest klientem w sieci LAN.
Ad 2. nie, nie można ponieważ w tym pliku wysyłany jest adres IP który powinien sobie przypisać klient serwera OpenVPN o nazwie "commonname"
Tak się robi dla innych klientów serwera OpenVPN żeby np. wiedzieć pod jakim adresem szukać to, co się chce.

A co Ci przeszkadza ten plik ccd, nawet jakby można było dopisać to do sekcji głównego pliku konfiguracyjnego?

Ad.1 A czy zamiast przestawiać LAN w tryb klienta DHCP nie jest prościej dodać opcję w sekcji lan w pliku /etc/config/dhcp 

option ignore '1'

i dzięki temu jednoznacznie określić, że on nie może rozdawać adresów?
A w pliku /etc/config/network w sekcji "lan" na sztywno określić adres tak jak jest to standardowo w Openwrt.

Ad.2 a czy uważnie czytałeś post do którego Cię skierowałem, a właściwie dalej czyli #70 ?
Naprawdę tam widzisz

?

Jeżeli wyłączyłeś firewall to ciekawe kto będzie robił np. maskaradę?
I po co 2x topology 'subnet' w konfigu.