pcdesign

Если я не ошибаюсь, то надо отказаться от MASQUERADE в пользу SNAT
То есть удалить строки, где openvpn трафик засовывается в MASQUERADE, а вместо этого прописать:

iptables -t nat -I POSTROUTING -s 10.10.15.0/24  -j SNAT --to-source БЕЛЫЙ_IP_VDS

Кстати, SNAT быстрее работает, чем MASQUERADE

https://help.keenetic.com/hc/ru/articles/213966229...

Надо разрешить винде отвечать на пинги.

Еще один tap-адаптер надо поставить.
Одно соединение через tap-адаптер 1, другое через tap-адаптер 2.
https://stackoverflow.com/questions/21210071/how-t...

В логах должно быть написано в чем причина.
А так на в скид, видимо не прописан выход наружу на сервере.
Типа того:

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -j SNAT --to-source x.x.x.x

Где x.x.x.x - IP сервера откуда трафик должен выходить наружу.

И должен быть разрешен форвард пакетов:
echo "1" > /proc/sys/net/ipv4/ip_forward
И в файле /etc/sysctl.conf
net.ipv4.ip_forward = 1

openvpn всё равно же только через root работает

Достаточно в конфиге добавить:

user nobody
group nobody

Имхо, зачем усложнять с виртуализацией и прочим, когда можно openvpn запускать на разных портах.
Можно хоть тысячу openvpn на одном сервере запустить, используя разные порты.

Можно поднять 5 сервисов opevpn-служб.
Для каждого белого ip по одной службе опенвпн, со своим конфигом и своими клиентами и своими сетями.

Наверное, стоит выложить результаты команд

ifconfig
ip r
iptables -nvL
iptables -t nat -nvL

Конфиги и логи опенвпн.
И вам помогут быстрее.

Ну а если лень, то попробуйте просто послушать что там происходит, например так:

ngrep -W byline -d tun0 host xxx.xxx.xxx.xx and port xxxx

P.S. И вы не забыли сделать так

echo "1" > /proc/sys/net/ipv4/ip_forward

Или более глобально в файле /etc/sysctl.conf в строке

net.ipv4.ip_forward = 1