Czyli mam mieć (przykładowo) 192.168.1.0 na A, 192.168.2.0 na B i 192.168.3.0 dla VPN?

Tak zmieniłem.
Router B dostał przez VPN adres 192.168.3.2 i to działa. Ale nadal nie działa nic dalej.

Ale drugie urządzenie w sieci B nie dostaje adresu VPN...
Tylko, że uświadomiłem sobie, że... nie konfigurowałem w żaden sposób tego urządzenia! Czy każdy klient za routerem B musi mieć swój certyfikat itd i podłączać się osobno?

Tylko że to nie tłumaczy, dlaczego router A 192.168.1.1 widzi router B 192.168.3.2,a już laptop A 192.168.1.10 nie

Korzystałem z tego właśnie poradnika, ale być może źle podszedłem do sprawy,|
Może mi podpowiesz, czego TECHNICZNIE potrzebuję?

Chcę mieć sieć A główną, , której router jest moją bramą na świat, i drugą sieć - B, która ma swoich klientów, ma interfejs WAN, ale najchętniej widziałbym, że można się z niej łączyć ze światem WYŁĄCZNIE za pośrednictwem routera A.
Wewnętrznie klienci obu sieci powinni się widzieć wzajemnie (będę chciał przesyłać np. komunikaty mqtt między nimi, czy streamować kamerę).

Chyba więc chodzi o połączenie sieci, ale tak, żeby ruch odbywał się (cały) przez router A. To możliwe?

Dodatkowo nie pogardziłbym łączeniem się z moją siecią A, ze świata, oczywiście z urządzenia odpowiednio przygotowanego (czytaj - zainstalowane certyfikaty do VPN), ale to jest drugorzędne, a poza tym wydaje mi się (!), że wiem jak to zrobić.

Przyznaję, że poprzednio nie dojechałem do końca poradnika, przykłady odpowiadają dość dobrze moim potrzebom. W teorii, bo u mnie nie zadzialaly.

Przeszedlem przez
- Dostęp do sieci LAN za serwerem
- Przekierowanie całego ruchu klientów przez tunel vpn

No i z logów wynika, że serwer serwuje, a klient odbiera konfigurację
PUSH: Received control message: 'PUSH_REPLY,route 192.168.1.0 255.255.255.0,redirect-gateway def1,route-gateway 192.168.3.1,topology subnet,ifconfig 192.168.3.2 255.255.255.0,peer-id 1,cipher AES-256-GCM'

trasy się dodają
Sun Feb 18 22:02:58 2024 /sbin/ifconfig tun0 192.168.3.2 netmask 255.255.255.0 mtu 1500 broadcast 192.168.3.255
Sun Feb 18 22:02:58 2024 /sbin/route add -net 31.11.184.147 netmask 255.255.255.255 gw 192.168.8.1
Sun Feb 18 22:02:58 2024 /sbin/route add -net 0.0.0.0 netmask 128.0.0.0 gw 192.168.3.1
Sun Feb 18 22:02:58 2024 /sbin/route add -net 128.0.0.0 netmask 128.0.0.0 gw 192.168.3.1
Sun Feb 18 22:02:58 2024 /sbin/route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.3.1

Ale nadal - wszystko działa tylko między routerami, a już nawet klienci w poszczególnych lanach nie widzą drugiego z routerów, nie mówiąc o klientach nawzajem.

---------------------
Domyślam się, że przedostatni punkt (Dostęp do internetu urządzeń w sieci lan klienta OpenVPN tylko po podłączeniu do serwera) też będzie mnie interesował, ale to dopiero jak zestawię jakoś resztę.

Domyśłam się, że Ameryki nie odkrywam - tym bardziej, że poradnik (zapewne twojego autorstwa?) opisuje dokładnie te rozwiązania, których chcę. No ale u mnie się nie udało jak na razie. Wieczorem spróbuję - może od nowa.

Myślę i próbuję i nie wiem jak to ogarnąć.
Mam tak:
root@client:~# traceroute 8.8.8.8

traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 38 byte packets
 1  192.168.3.1 (192.168.3.1)  80.845 ms  85.902 ms  79.028 ms
 2  192.168.3.1 (192.168.3.1)  88.009 ms  78.161 ms  71.477 ms
root@client:~# 

Czyli ruch z klienta (routera) nie przechodzi poza Router-server

(192.168.3.1 to VPN IP głównego routera, ten połączony z WAN, server OpenVPN)

Tak jest na serwerze:

firewall.@zone[3]=zone
firewall.@zone[3].name='vpn'
firewall.@zone[3].output='ACCEPT'
firewall.@zone[3].network='vpn'
firewall.@zone[3].input='ACCEPT'
firewall.@zone[3].forward='ACCEPT'
firewall.@zone[3].masq='1'
firewall.@forwarding[3]=forwarding
firewall.@forwarding[3].src='vpn'
firewall.@forwarding[3].dest='wan'

No i routing na kliencie:

root@client:~# ip route show table main
0.0.0.0/1 via 192.168.3.1 dev tun0 
default via 192.168.8.1 dev eth1  src 192.168.8.100 
31.11.184.147 via 192.168.8.1 dev eth1 
128.0.0.0/1 via 192.168.3.1 dev tun0 
192.168.1.0/24 via 192.168.3.1 dev tun0 
192.168.2.0/24 dev br-lan scope link  src 192.168.2.3 
192.168.3.0/24 dev tun0 scope link  src 192.168.3.2 
192.168.8.0/24 dev eth1 scope link  src 192.168.8.100 

Czyli:
Mam default routing przez modem (192.168.8.1), ale traceroute idzie (próbuje iść) przez server (192.168.3.1). Przyznaję, że nic nie kumam.

Zmieniłem default na
default via 192.168.3.1 dev tun0

ale nie pomoglo, nic sie nie zmienilo.
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 38 byte packets
1  192.168.3.1 (192.168.3.1)  90.771 ms  76.308 ms  88.453 ms
2  192.168.3.1 (192.168.3.1)  88.795 ms  82.381 ms  67.794 ms

Acha, po restartcie klienta default wraca na 192.168.8.1 ale to chyba normalne.
Nie odpowiadają również pingi z klienta do głównego LANu, więc wydaje mi się, że główny problem leży w konfiguracji servera.Choć z LANu do clienta też nie odpowiadają. Wciąż jedyne połączenie to Server-openwrt  <-> client-OpenWRT. Reszta się nie widzi.

Zupełnie nie wiem co miałbym z tym zrobić.
Pomocy!

Oto network z servera.
Mam (dawno nie użyty) konfig dla modemu GSM - obecnie wyjętego, ale nie zmieniałem nic w routerze, oraz niepotrzebny mi IPv6 - najchętniej bym go trwale wyłączył, ale to drugorzędne.

network.loopback=interface
network.loopback.ifname='lo'
network.loopback.proto='static'
network.loopback.ipaddr='127.0.0.1'
network.loopback.netmask='255.0.0.0'
network.globals=globals
network.lan=interface
network.lan.type='bridge'
network.lan.ifname='eth0.1'
network.lan.proto='static'
network.lan.ipaddr='192.168.1.1'
network.lan.ip6assign='60'
network.lan.dns='208.67.222.222' '208.67.220.220'
network.lan.netmask='255.255.255.0'
network.lan.ipv6='off'
network.lan_eth0_1_dev=device
network.lan_eth0_1_dev.name='eth0.1'
network.lan_eth0_1_dev.macaddr='08:02:8e:da:e7:40'
network.wan=interface
network.wan.ifname='eth0.2'
network.wan.proto='dhcp'
network.wan.metric='10'
network.wan.dns='8.8.8.8' '8.8.4.4'
network.wan.peerdns='0'
network.wan.ipv6='off'
network.wan_eth0_2_dev=device
network.wan_eth0_2_dev.name='eth0.2'
network.wan_eth0_2_dev.macaddr='08:02:8e:da:e7:41'
network.wan6=interface
network.wan6.ifname='eth0.2'
network.wan6.proto='dhcpv6'
network.@switch[0]=switch
network.@switch[0].name='switch0'
network.@switch[0].reset='1'
network.@switch[0].enable_vlan='1'
network.@switch_vlan[0]=switch_vlan
network.@switch_vlan[0].device='switch0'
network.@switch_vlan[0].vlan='1'
network.@switch_vlan[0].ports='0 1 2 3 6t'
network.@switch_vlan[1]=switch_vlan
network.@switch_vlan[1].device='switch0'
network.@switch_vlan[1].vlan='2'
network.@switch_vlan[1].ports='4 6t'
network.wanb=interface
network.wanb.proto='dhcp'
network.wanb.ifname='eth1'
network.wanb.metric='20'
network.wanb.dns='8.8.8.8' '8.8.4.4'
network.wanb.peerdns='0'
network.vpn=interface
network.vpn.device='tun0'
network.vpn.proto='none'
network.vpn.ifname='eth0.2'
network.vpn.delegate='0'

Widzę tu:
network.vpn.proto='none'
...i to mi wygląda najbardziej podejrzanie?
Nie czuję tego. Przez analogię do network.lan wygląda  mi to na ustawienia samego routera w odniesieniu do sieci VPN, czyli powinno definiować router-server widziany przez klienta i jego klientów. Czyli w zasadzie powinien być proto:static i ipaddr: 192.168.3.1 ?
Tylko, że ten ip i tak działa, mimo, że nie jest tu zdefiniowany.

Tak, jest stary - 19.07. Swego czasu padł mi router podczas upgradu i trochę się go boję. Ale mam drugi identyczny, może sklonuję system, żeby mieć backup i dopiero zrobię upgrade. Ale to drugorzędne.

Tak czy inaczej - zrobiłem jak poleciłeś, znów bez efektu, Spróbowałem też ponownie ustawić default route na 192.168.3.1, ale tez bez zmian.

Jestem przekonany, że zrobiłem wszystko jak trzeba, zgodnie z instrukcją. Chyba usunę wpisy związane z VPN i zacznę od nowa. Może czegoś nie widzę.
Może uda mi się zrobić upgrady OpenWRT, ale niemal cały czas ktoś potrzebuje dostępu, więc nie będzie to łatwe.
Muszę jeszcze namierzyć najnowszy obraz dla moich netgearów r6220.

Zrób sobie nawet teraz ten backup i zobacz co wchodzi w skład tego backupu.
Następnie wejdź do routera np. przez WinSCP i zobacz, czy jest to samo co w backupie.
Backup nie robi kopi 1:1 tego co jest w routerze.
To czego nie ma, a chcesz żeby było wrzucasz do backupu o ile się da, bo nie wszystko się da.
Niektóre routery z OpenWrt 23 przeszły na DSA, więc wtedy z backupu nie odtwarzasz networku i robisz go na nowo.

Następnym razem kopie zapasowe rób przed zmianami.

Nie wiem co kombinujesz ale to co napisałem wyżej jest chyba proste jak drut.
Może się mylę, to niech mnie ktoś sprostuje.

Nie mam własnych reguł firewalla. Zrobiłem już działający setup, mam najnowszą wersję OpenWRT i skonfigurowane to co mi potrzebne i przy okazji zlikwidowane śmieci. Dziś/jutro będę od początku robił OpenVPN, wg instrukcji. Stronę klienta też podniosłem z 21.07 a 23.05 i też zrobię od nowa.