ValdikSS

В общем случае средствами лишь маршрутизации — никак. Это технически возможно, но никто этого еще не сделал (и я расстраиваюсь этому факту не первый год!).

Выходов несколько:
1. Добавлять IP-адреса доменов в момент резолва в лист маршрутизации VPN
Необходимо настроить DNS-сервер так, чтобы в момент запроса поддомена необходимых доменов (например, *.instagram.com) полученные IP-адреса добавлялись в список маршрутизации через VPN.
Это можно сделать, например, с помощью dnsmasq ipset.
Необходимо настроить маршрутизацию по списку ipset, а dnsmasq будет добавлять новые адреса, которые запрашивает пользователь, в этот список.

Недостаток способа заключается в необходимости использовать только DNS на роутере (DNS-over-HTTPS или любой сторонний резолвер не подойдёт — IP-адреса не будут добавляться в ipset и маршрутизации в VPN не будет), а также в том, что любой добавленный IP-адрес будет маршрутизирован в VPN: если два домена используют один и тот же IP-адрес, разделить их маршрутизацию не получится, оба будут маршрутизироваться через VPN.

В OpenWrt настраивается с помощью пакета pbr. Он не поддерживает регулярные выражения, как вы заметили, но они и не нужны: просто напишите любой домен, и словно это зона, все поддомены домена будут маршрутизированы в VPN. По-моему, pbr даже по-другому и не работает (нельзя маршрутизировать конкретный домен без его поддоменов).
Пример с доменами Netflix. Обнаружить все домены Instagram можно с помощью F12 - Network в браузере.

2. Обнаруживать домены в трафике, перемаршрутизировать через список маршрутизации VPN позже
Вариация первого метода с модулями вроде xt_tls, позволяющим обнаружить обращение к определённому домену из TLS-трафика, чтобы также добавить IP-адрес в ipset для маршрутизации в VPN.

Преимущество в том, что клиент может использовать любой DNS-сервер. Недостаток в том, что первый раз соединение всегда либо зависнет, либо разорвётся, и только второе и последующие заработают через VPN.
Вот здесь можно почитать, почему так происходит.

В OpenWrt модуль отсутствует.

3. Терминировать трафик на «умный» прокси-сервер, который поддерживает маршрутизацию по доменам
Весь TCP/UDP-трафик перенаправляется на локальный прокси-сервер, способный выявлять домены прямо из трафика и маршрутизировать их в зависимости от правил. Примеры подобных прокси: v2fly, xray, sing-box, и др. (все есть в OpenWrt).

Недостаток метода в том, что весь трафик будет обрабатываться userspace-программой: на низкопроизводительных роутерах это может привести к серьезному замедлению, некоторые VoIP-программы не будут звонить (из-за несовпадения UDP-порта, который создала программа, и UDP-порта, который использует прокси), и поддерживаются только UDP и TCP, другие протоколы (ICMP, GRE, IPIP, что угодно) через такой прокси работать не будут.
Преимущество в лёгкой настройке и довольно стабильной работе.

Алгоритм определения доменов, необходимых для маршрутизации, не отличается от описанного в #1.

https://openwrt.org/toh/tp-link/tl-mr6400_v5#modem...
В вашем списке установленных пакетов нет uqmi.

Настройте DHCP-сервер (в OpenWrt это dnsmasq по умолчанию), чтобы он не отдавал опцию 3 (Router).

Например, с помощью интерфейсов macvlan.
https://developers.redhat.com/blog/2018/10/22/intr...

Установите систему captive portal, вроде coovachilli.

modprobe br_netfilter

Опция route в клиентском конфигурационном файле.
Пример: route 8.8.8.8 255.255.255.255

Windows полноценно, без дополнительных настроек, поддерживает только аутентификацию сервера по сертификату из списка публичных центров сертификации. Сертификат может быть бесплатным, например, вполне подойдёт Let's Encrypt или вовсе ZeroSSL, который можно выписать на IP-адрес, а не домен.

Аутентификация клиента может быть по логину и паролю (EAP-MSCHAPv2), как вы и хотите.

Настройка производилась на Ubuntu 20.04
Установка: apt install strongswan libcharon-extra-plugins

Получить сертификат на IP-адрес в ZeroSSL, поместить certificate.crt в /etc/ipsec.d/certs/server.crt, private.key в /etc/ipsec.d/private/server.key, ca_bundle.crt в /etc/ipsec.d/cacerts/ca_bundle.crt

Содержимое /etc/ipsec.conf

conn %default
	dpdaction=clear
	dpddelay=35s
	dpdtimeout=300s

	fragmentation=yes
	rekey=no

	ike=aes128gcm16-aes256gcm16-sha1-sha256-sha384-modp1024,3des-aes128-aes192-aes256-sha1-sha256-sha384-modp1024,aes256-sha1-sha256-sha384-modp2048

	# left - local (server) side
	left=%any
	leftauth=pubkey
	leftcert=server.crt
	leftsendcert=always
	leftsubnet=0.0.0.0/0

	# right - remote (client) side
	right=%any
	rightauth=pubkey
	rightsourceip=192.168.155.0/24
	rightdns=8.8.8.8

conn ikev2-eap-mschapv2
	keyexchange=ikev2
	rightauth=eap-mschapv2
	eap_identity=%any
	auto=add

Содержимое /etc/ipsec.secrets:

: RSA server.key
user1 : EAP "password1"

Остаётся только настроить маршрутизацию и NAT.
В Windows нужно настроить подключение IPsec IKEv2 на этот IP-адрес, с именем user1 и паролем password1.

Если я правильно понял, у вас есть основной роутер, раздающий интернет, и роутер с OpenWRT, не выполняющий никакой дополнительной функции на данный момент.

Измените логику настроек в OpenWRT так, чтобы WAN-зоны не было вовсе, а была одна большая LAN. VLAN у WAN-порта тоже заведите в LAN. У LAN отключите DHCP, назначьте статический адрес. Такой настройкой у вас OpenWRT будет выступать свитчом.

Если у вас подобных сайтов немного, и они никогда не меняют IP-адреса (или делают это очень редко), можно прописать их в качестве статичных маршрутов через tun0.
Если доменов много, они периодически меняют IP-адреса, то один из вариантов — маршрутизация «по доменному имени». Это можно реализовать с помощью опции ipset в dnsmasq и маршрутизации адресов внутри ip set. Альтернативный вариант — сделать подобное на стороне сервера, по принципу VPN АнтиЗапрета — маршрутизировать в VPN только одну подсеть, а на серверной стороне устанавливать маппинг адреса в эту подсеть для определенных доменов.