Pora była późna, szyny były złe.
Wszystkie linki podane przez Ciebie widziałem.

Tymczasowe rozwiązanie, które nie satysfakcjonuje mnie w pełni (bo nie wykorzystuje mechanizmów które rozumiem, a jakieś gotowce):
1. Na tailscale-exit node dodałem rozgłaszany route na adresację publiczną (xx.yy.100.0/22) i zezwoliłem w panelu tailscale na ogłaszanie go
2. Na tailscale-routerze dodałem "ip route add x.y.100.0/22 dev tailscale0"
3. Przepuściłem na rule firewalla ruch z LAN do Tailscale

Docelowo podejmę pewnie próbę postawienia osobnego serwera wireguard, podpięcia klienta i routowania tego w np. podlinkowany sposób. Póki co działa, a na tym mi głównie zależało.

Aby Tailscale daemon był w stanie przekierować "cały" ruch przez exit node musisz go uruchomić z opcją --exit-node, inaczej wewnętrznie nie będzie wiedział do którego hosta puścić pakiety.

Tailsclale wstawia swoje reguły trasowania i jest niestety pod tym względem praktycznie niekonfigurowalny. Regułki po włączeniu --exit-node wyglądają tak:

# ip rule
0:      from all lookup local
5210:   from all fwmark 0x80000/0xff0000 lookup main
5230:   from all fwmark 0x80000/0xff0000 lookup default
5250:   from all fwmark 0x80000/0xff0000 unreachable
5270:   from all lookup 52
32766:  from all lookup main
32767:  from all lookup default

W związku z tym jeśli chciałbym przekierować przez exit-node ruch wyłącznie od hosta 192.168.0.10, dopisałbym 2 regułki: po pierwsze, kieruj ruch z wybranego hosta do Tailscale (tabela 52):

# ip rule add from 192.168.0.10/32 lookup 52 prio 5200

a pozostały ruch normalnie - tutaj priorytet 5209, żeby "ominąć" Tailscale:

# ip rule add lookup main prio 5209

Możesz spróbować wklepać to ręcznie i zobaczyć czy w ten sposób działa, jak oczekujesz. Niestety nie pomogę w tym gdzie takie regułki najlepiej wpisać na stałe w OpenWRT.

Sprawdziłem lokalnie.
Musiałem uporać się jeszcze z DNS-em - ten jest podmieniany na tailscaleowy (--accept-dns=false).

Zostaje jeden "problem" - siadł dostęp po tailscale z zewnątrz, tj. ssh do tego routera jest już niemożliwe.
Domyślam się, że trzeba dodać do tablicy routingu adresację tailscale?
Całość jest na okrętkę, ale najbliżej działającego rozwiązania póki co.

Mi nie zależy na dostępie do sieci LAN exit-node (to wiem jak osiągnąć).
Chodzi o to, aby przeroutować przez exit-node do Internetu wyłącznie dwa adresy IP z obecnej sieci i nic poza tym.

Edit:
Dopiero zauważyłem że przywołujesz `netfilter-mode`. Z manuala:

--netfilter-mode (Linux only) Advanced feature for controlling the degree of automatic firewall configuration. Values are either "off", "nodivert", or "on". Defaults to "on", except for Synology which defaults to "off". Setting this flag to "off" disables all management of netfilter. Setting to "nodivert" creates and manages Tailscale sub-chains, but leaves the calling of those chains up to the administrator. Setting to "on" means using full management of Tailscale's rules. Note that if you set --netfilter-mode to "off" or "nodivert", it is your responsibility to configure the firewall securely for Tailscale traffic. We recommend using the rules installed by --netfilter-mode=on as a starting point.

Przetestuję lokalnie.

Edit 2:
Bez sukcesu, te same objawy - działa lokalnie, "siada" komunikacja tailscale i tym samym zdalne zarządzanie