Faktycznie w konfiguracji brakuje chain. Dodałem jeszcze jedną linijkę i wychodzi że jak jest prerouting to jest domyślne ustawienie i nic do pliku konfiguracyjnego nie dodaje.

Luci zrzut

config policy
    option dest_addr 'dnsleaktest.com'
    option interface 'WG1'
    option name 'Test'

config policy
    option src_addr '192.168.1.1'
    option dest_addr 'speedtest.pl dnsleaktest.com'
    option chain 'forward'
    option interface 'WG1'

Czy dam prerouting, forward lub output efekt dla routera jest bez zmian.

Podejrzewam że przez to też mam wycieki DNS.

config policy
    option dest_addr 'dnsleaktest.com'
    option interface 'WG1'
    option name 'Test'
    option chain 'output'

Teraz traceroute wygląda tak jakby nie szło przez ISP. Ale traceroute z komputera idzie przez ISP.

root@OpenWrt:~# traceroute dnsleaktest.com
traceroute to dnsleaktest.com (23.239.16.110), 30 hops max, 46 byte packets
 1  *  *  *
 2  *  *  *
 3  *  *  *
 4  *  *  *
 5  *^Z

I test dns wygląda tak

root@OpenWrt:~# ./dnsleaktest.sh
Your IP:
217.28.xxx.xxx [Poland, xxxxx] - to ISP

You use 3 DNS servers:
172.69.49.75 [Poland, AS13335 CloudFlare Inc.]
172.69.49.76 [Poland, AS13335 CloudFlare Inc.]
172.69.49.77 [Poland, AS13335 CloudFlare Inc.]

Conclusion:
DNS may be leaking.

No dobra. To nie jest tak że jak ustawię taką politykę z output bez lokalnych adresów czyli wszystkie zapytania powinny iść przez tego włąsnie outputa ustawionego na WG1?

Bo prerouting z pustym polem src_addr powinien przerzucać całą sieć 192.168.1.0/24 i teoretycznie to robi i router teoretycznie też jest w tej podsieci a jego wyjście omija VPN.

Podsumowując.

config policy
    option dest_addr 'dnsleaktest.com'
    option interface 'WG1'
    option name 'Test'

config policy
    option name 'Test2'
    option dest_addr 'dnsleaktest.com'
    option chain 'output'
    option interface 'WG1'

Sprawdzając IP na kompie https://ipinfo.io/ip oraz na OpenWRT jest to samo IP z VPN.

Dodając speedtest.pl oraz speedtest.net widzi IP ISP.

Testując dnsleaktest.com, na kompie jest ok, na OpenWRT jest nie ok zasygnalizowany wyciekiem DNS.

Czy jest możliwość jakoś ustawienia żeby zapytania o te adresy szły przez VPN na DNSy VPN?

Trochę jeszcze się tym bawiłem i chyba wiem jak to się dzieje.
Jak używam wget żeby podejrzeć IP na ipinfo.io to jak interfejs startuje bądź się zatrzymuje (symulacja zrywania połączenia) to pomimo zaznaczenia ścisłego egzekwowania to zanim mam timeout to kilka razy pojawi się IP ISP później jak interfejs jest zatrzymany nie ma w ogóle połączenia i jak startuje widać wyciek a jak się uruchomi to idzie przez VPN.

Teoretycznie PBR jest uruchomione to jak są anomalie na WG1 (restart/uruchamienie) to PBR nie powinno poczekać aż połączenie wstanie i nigdzie nie puścić ruchu?  Bo co to jest za tunel VPN jak są wycieki przy anomaliach.