Классика asymmetric routing. Пакет летит в Debian через tap0, а ответ уходит через enp9s0 к физическому роутеру — VPS его не видит и MASQUERADE для ответа не срабатывает. Другие девайсы в LAN работают потому что весь их трафик идёт и возвращается через роутер, VPS их форвардит по L2 прозрачно.
Фикс: дай VPS-у IP на tap0 (
ip addr add 10.10.0.254/24 dev tap0), потом:
iptables -t nat -A POSTROUTING -o tap0 -d 10.10.0.2 -j MASQUERADE
Тогда пакет придёт к Debian с src=10.10.0.254, он ответит обратно в тунель по ARP записи VPS-овского tap мака, и всё заработает.