Alexey Dmitriev

Дальше делать следующее - читать документацию по OpenVPN и настраивать маршруты.

За значок отвечает служба\процесс NCSI (Network Connectivity Status Indicator). Ее можно настроить на кастомную ссылку например внутри локальной сети. Но по идее после получения доступа в интернет и через VPN значок должен измениться после проверки на сайте MS.

В чем затык?
на гитхабе написано как собрать модуль для ядра и там же написано, что userspace api пока нет.
Так что пока поставьте обычный OpenVPN и пользуйтесь.

С помощью необходимых вам маршрутов, которые могут использоваться и в серверном и в клиентском конфигурационных файлах.

Я бы взял что-то из серии Zyxel Keenetic, предварительно уточнив в техподдержке Zyxel - работает ли OpenVPN клиент в режиме WIFI-маршрутизатора или WIFI клиента.
Mikrotik в запрашиваемом контексте будет менее удобен.

HazySonic - про режим моста - в данном случае вам это не нужно и вы вероятно не очень понимаете, что такое режим моста. Режим моста - это пришел пакет на входящий интерфейс-без изменений передан на исходящий и наоборот.

1. он выдается интерфейсу на серверной стороне openvpn.
2. он вне маски подсети.
3. проблемы не с адресом, а с машиной, на которой он выдается.

Файрвол - SNAT и FORWARD открыть нужно. А начинать нужно было с поиска в гугле и здесь.
И в настройках Openvpn сервера включить опцию, которая будет менять в системе с клиентом default route на VPN соединение.

Причем тут маршруты на сервере? Они автоматом создаются.
На сервере должен быть разрешен:
1. forward пакетов через ядро (sysctl)
2. Файрвол должен разрешать прохождение пакетов между сетями 192.168.1.0 и 192.168.0.0 (iptables -A FORWARD xxxx -j ACCEPT), либо между интерфейсами (iptables -A FORWARD -i xxx -o xxx -j ACCEPT).

А вот ваши оконечные устройства в обеих подсетях должны иметь маршруты до противоположных подсетей - каждая через свой VPN. Или раздавайте их автоматически или руками.

А вообще идея полупереезда и ожидания ответа здесь на форуме вместо полной миграции дачи и квартиры выглядит кривовато.

Когда "что-то не заработало" - идут и читают логи приложения.
Что в логе openvpn?
Если его нет-включите в конфигурационном файле.

Вопрос не понятен.
Что мешает руками запустить openvpn два раза с разными конфиг файлами?
Можно создать init скрипты для автозапуска для systemd\upstart\sysv (зависит от ОС) для разных конфигов и запускать их через них?
Для systemd например как-то так https://community.openvpn.net/openvpn/wiki/Systemd

Отключите в конфигурационном файле openvpn сервера опцию, которая пушит маршрут по умолчанию.
Что-то типа
push "redirect-gateway xxx"
push "route-gateway xxx"

У вас в конфиге bind отсутствует параметр allow-recursion. Поэтому клиенты не могут рекурсивно запросы через него делать.

И уже не в качестве ответа, а в качестве совета - разверните (можно прямо в docker за пару минут) Adguard Home.
https://adguard.com/ru/blog/introducing-adguard-ho...
Будет вам свой DNS, в том числе новых безопасных видов плюс blacklist от рекламы.

Боитесь за приватность - тогда поставьте специализированный для кеша и рекурсивных запросов unbound
https://github.com/NLnetLabs/unbound, не связывайтесь с bind для вашей задачи.

1. Включите опцию VigilantBear. Судя по описанию она блокирует любой трафик, проходящий не через TunnelBear.
2. Непонятно почему вы не можете использовать встроенный файрвол. Вам всего лишь нужно описать весь входящий и исходящий трафик - для соединения tunnelbear с сервером и для пакетов внутри TunnelBear.
Затем следующим после этих правил поставить запрещающие всё правила на вход и выход и командой из консоли включать их или выключать.

"openvpn сервер на pritunl.
Адрес сервера 192.168.0.5, там крутятся пара локальных сервисов. И иногда до подключения к vpn этот адрес уже занят дома у сотрудника. "
Обращайтесь к к серверу по ip его openvpn интерфейса, а не по 192.168.0.5.

Но кардинальное решение только одно - смена подсети либо у сотрудника дома, либо в подсети где сервер.

Скорее всего только через auth-user-pass - пары логин-пароль хранятся в файлике.

Сертификат вашего CA должен быть в Trusted Root Certification Authorities на машине с клиентом.

1. Делаете SNAT на VPS

iptables -t nat -A POSTROUTING -d внешний_ip_сервера/32 -p tcp --dport 2222 -j SNAT --to-source 10.9.8.2

2. На роутере делаете что-то подобное или переадресацию портов\port forwarding внутрь. Но уже с порта 2222 на ip 192.168.0.7 и порт 22

Нельзя обойтись без сертификатов в OpenVPN

1. Переключить использование openvpn с интерфейса tun на tap.
2. Проверять прохождение GRE протокола внутри OpenVPN