Проверяй firewall и настраивай comminuty.
У меня даже hap mini спокойно по snmp опрашиваются.

В system -> logging добавить action с типом remote и указать адрес сервера.
Затем в правилах указать нужные топики (l2tp, ppp, info - например) с созданным ранее действием.
Хотя лучше логировать всё и сразу. Никогда не знаешь что понадобится в будущем )

IP - DNS - Static для статических записей. Если роутеры на филиалах выступают днс-ами.

У HikVision есть облачный сервис. Можно ничего и не пробрасывать, а роутер сконфигурировать через QuickSet станартно как CPE.

В настройках ip адреса подключения к сети vpn за кнопкой "Дополнительно" спрятана волшебная галочка "Использовать основной шлюз в удаленной сети".
После её отключения соединения в интернет пойдут через провайдера, а соединения к локальной сети предприятия через vpn.
Если вы конечно хотите добиться именно этого.