res2001

Вы должны понимать, что "железный" в вашем примере - это не ВПН реализованный в "чипе". В микротиках есть свой процессор, на котором крутится операционная система, ВПН там реализуется точно так же как и программный вариант, даже с высокой вероятностью используется то же самое ПО, которое вы бы использовали в программном варианте. Но часто производители железок модифицируют ПО под свое понимание проблемы и какой-то функционал, который работает в стандартном варианте в железке работает не так или не работает вовсе. У некоторых производителей железок есть своя собственная реализация ВПН.

Но если вы плохо разбираетесь в теме (или у вас нет человека разбирающегося в теме), то есть смысл использовать ВПН встроенный в роутер. Там по крайней мере из коробки обычно есть более-менее сносный веб интерфейс и настроить ВПН в принципе не сложно.

Впрочем в "программном" варианте можно то же прикрутить интерфейс и возможностей по настройке больше, но это потребует более глубоких знаний.

Кстати, никто не запрещает делать "гибридный" ВПН. Если в железке ВПН реализован с использованием каких-то стандартных протоколов, то вы можете использовать и его программный вариант в тех точках где это будет удобно, а в других местах использовать "железный" ВПН. В общем нет никакого смысла себя загонять в рамки железный/программный - действуйте по обстоятельствам.

На счет белых IP - для ВПН вам понадобится хотя бы 1 белый статический адрес, на нем вы развернете ВПН сервер. Можно использовать схему динамический белый адрес + DDNS, но это так себе идея. ВПН клиенты могут использовать серые адреса. Под ВПН сервер вы можете арендовать VPS или развернуть его где-то на своей площадке где уже есть белый адрес.

Вам просто нужно на малинке добавить статический маршрут до вашего DNS провайдера, куда ходит AdGuard. Маршрут этот должен быть через DNS вашего оператора связи (или что там у вас сейчас в качестве шлюза по умолчанию без поднятого ВПН).
Никаких сложных телодвижений с настройкой фаервола не требуется.

В конфиге OpenVPN задайте опцию local - в ней укажите, какой адрес будет слушать OpenVPN для приема входящих подключений.
По умолчанию слушает все адреса.

Любые ВПН вообще и OpenVPN в частности не имеют отношения к вашим хотелкам. Вы можете делать это с ВПН или делать без ВПН - как угодно. Для этого используется другое ПО никак не связанное с ВПН. Оно работает на уровне выше, чем работает ВПН.

Встроенный IPSec

При чем тут openvpn?
Причину вы понимаете не правильно - ВПН создает новый виртуальный сетевой адаптер, его IP ни с чем не конфликтует (хотя теоретически может, но это достаточно редкий случай).
Ваша ситуация похожа на наиболее частую ошибку, когда ВПН соединение перезаписывает "шлюз по умолчанию" на клиенте. Это поведение обычно можно отключать. Как именно зависит от используемого варианта ВПН.

Десктопные версии винды однопользовательские (Win10/8/7). Когда подключается второй пользователь у первого должен завершиться его сеанс. Завершился сеанс - все запущенные в сеансе программы так же завершаются.
В серверных версиях винды такого ограничения нет.

Чем не устраивает официальная версия, если на ней все работает? Зачем вам

исходник на android

. В любом случае любой

исходник на android

будет только оболочкой над оригинальным OpenVPN, исходники которого никто не скрывает.

Кстати, вас не смущает, что в конфиге вы засветили приватный ключ пользователя? Ключи можно было бы и вырезать.

TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
TLS Error: TLS handshake failed

говорит о том, что за скорее всего у вас проблемы со связью. Т.е. клиент не видит сервер по сети. Возможно сервер не доступен. Возможно у клиента проблемы с обменом по UDP, попробуйте перевести OpenVPN на TCP. Лично я сталкивался с тем, что некоторые клиенты, по независящим от них причинам не могут подключиться по UDP. Для обхода этой проблемы я поднял "резервный" openvpn на TCP на порту 443.
Хорошо бы протестировать доступность порта сервера другими способами именно с этого проблемного клиента.

Если бы проблема была в криптографии, то ошибки были бы другого рода.

3.Если ВПН сервер физически не на Украине, то провайдер не узнает, какой у вас трафик внутри ВПН.
Не ну теоретически может что-то узнать, если подключить СБУ. Но тут вы должны быть интересны СБУ, а не провайдеру, а это уже совсем другая история.
По остальным вопросам сказать не чего, т.к. я не с Украины.

С веб мордой вряд ли что-то найдете. Разве что на VPS воткнете что-то типа pfsence или аналогов.
Я голосую за openvpn :-)

маршруты до сетей прописаны, локальные сети между собой взаимодействуют

Если это так, то локальный адрес веб сервера должен быть доступен из второй сети. Не нужно ничего пробрасывать. Все работает.
Если веб сервер не доступен, то что вы имели ввиду под этой фразой? Какой-то противоречие тут.

Проверьте маршрутизацию пакетов от веб сервера до клиента во второй сети и наоборот.
Обычно при использовании ВПН у народа возникает недопонимание, что ВПН это только 1 канал от 1 клиента к 1 серверу, что бы заработали между собой сети за клиентом и сервером, нужно просто правильно настроить маршрутизацию. Частичто с этим могут помочь настройки ВПН клиента или сервера, но не во всех случаях и не для всех реализаций ВПН. IPSec ВПН явно не из числа реализаций, которые что-то за вас будут делать.

Зачем вам server-bridge? Ниразу не видел openvpn работающий в этом режиме. Ну может оно и работает ...
Режим topology subnet + server наше все.
В общем когда ВПН клиент подключится к серверу останется только правильно настроить таблицы маршрутизации на ВСЕХ участниках обмена.

Как минимум нужно увидеть, что openvpn пишет в журнал на счет ошибки: /var/log/openvpn/openvpn.log
По вашему описанию нет возможности это узнать.

Нет никакой своей версии TCP. На сервере openvpn выставляете tcp-server, на клиенте tcp-client. Хотя должно работать и просто tcp в обоих случаях. Когда я последний раз настраивал TCP для openvpn, указывал просто tcp и все работало. Так же можно использовать tcp4 или tcp6, если нужно работать только с конкретной версией протокола. Аналогично и для udp.
Почему вы используете интерфейс tap, вместо tun? Есть какие-то причины? Обычно используют tun.