в капсмане и анонсе сети до меня дошел вот такой дзен - не нужно анонсировать рабочую сеть, только гостевую.. далее гостевая отделена (влан с пвид или фв, или бридж с фв (не принциальный момент)) от рабочей сети... а попадание в рабочую сеть - добро пожаловать в впн