Alexey Dmitriev

"но мне бы хотелось реализовать это средствами pritunl".
В чем проблема, если в pritunl есть IPSEC.

Нужно:
развернуть на сервере VPN сервер,
Подключить к нему VPN клиентом маршрутизатор,
Настроить маршрутизация от VPN сервера до клиентов за маршрутизатором.
А потом подключиться VPN клиентом к серверу и пинговать все, что хочется

Маршруты должны быть добавлены на всех узлах по пути прохождения пакетов, включая обратные маршруты, в том числе на целевых хостах. Каждый узел в сети должен или знать куда идти дальше в обе стороны, или должен знать его default gateway

OvenMediaEngine умеет работать с камерами в режиме Push по некоторым протоколам.
https://github.com/AirenSoft/OvenMediaEngine
Ставите его на VPS, камеры присылают на него поток сами, он его вам выдает на выходе в нужном формате.
Если камеры не умеют в push, то настроить VPN между Keenetic и VPS.
Если камеры умеют в push через например webrtc, то они могут и на сайт отправить поток самостоятельно.

Нужно:
1. Обеспечить выдачу клиенту статического адреса через конфигурирование сервера OpenVPN.
2. Настроить разрешающее правила прохождения трафика в iptables.
3. Ниже разрешающего правила закрыть доступ для ip адреса клиента к подсети openvpn в iptables.

Нужно обеспечить с помощью настроек openvpn сервера маршрутизацию только нужного трафика в openvpn и закрыть Firewall доступ в интернет для подсети openvpn на сервере

"VPN исключен, т.к. он может повлиять на скорость интернета на машинах, а это критично. " - это как?
У вас есть оборудование, чтобы организовать нормальную связь между филиалами, нужно всего лишь не пересекающиеся подсети и настройка VPN соединения между микротиками.
Какое отношение это имеет к скорости Интернет, если вы будете гонять в VPN только нужный вам трафик, который (как например траффик заббикс агентов) все равно пошел бы через Интернет.

Правильное решение вопроса - это VPN между офисами и если есть возможность - размещение zabbix прокси во втором офисе.

Передавать нельзя, только вносить в настройки и сохранять в новый клиентский конфиг.
Вы после активации "Прямое подключение к диапазонам IP-адресов России" клиентский конфиг обновили у клиента?
И не следует забывать, что базы данных привязок подсетей к странам довольно не актуальные.

Маршрутизация предполагает, что ВСЕ хосты по пути следования маршрута знают маршруты ко всем хостам на пути маршрута как в одну, так и в обратную сторону. Или через записи в таблице маршрутизации, или через шлюз по умолчанию.

Iptables DNAT

Никакое оборудование не может то, что вы хотите.
Но и ваш кинетик и другое оборудование смогут использовать 2 разных канала доступа в интернет, используя разные условия - например распределять по разным каналам в зависимости от типа трафика (по портам), либо по местам, куда вы пойдете (по подсетям) и т.п.

Да могут, если они подключены к одному коммутатору. Но так как вы что-то пишете про маршруты - то ответ-не не смогут.

Файрвол - SNAT и FORWARD открыть нужно. А начинать нужно было с поиска в гугле и здесь.
И в настройках Openvpn сервера включить опцию, которая будет менять в системе с клиентом default route на VPN соединение.

VPN изнутри сети за NAT

Без NAT скорее всего никак. Если вы не используете NAT, вы должны обеспечить машрутизацию, а у вас все адреса привязаны физически к серверу.

Попросите администратора\включите сами на сервере VPN опцию default route (зависит от реализации).
Либо в настройках соединения VPN у себя - если это возможно.
Тогда при VPN подключении будет появляться маршрут по умолчанию в VPN

Наймите профессионалов.
По любым советам отсюда - вы не сможете гарантировать, что настроено так, как указано в ваших технических условиях.
Самый простых варианта два:
1. Поднять любой VPN на сервере "windows server 2012, на котором удалённо работает 1С-программист", пробросить на TPLink порт, на котором слушает VPN сервер.
2. Ограничить проброс порта RDP внутрь только для ip адреса/подсети провайдера программиста 1С.