Primeiro, embora eu não esteja familiarizado com a UCI, o OpenWrt Wiki informa me pode acomodar regras iptables manuais usando um arquivo externo. Você já definiu um: '/etc/firewall.user', então a solução que você mencionou em seu comentário ainda pode ser viável.
Suas rotas permitem que a sub-rede 192.168.178.0/24 seja acessada bem, assumindo que a interface que seu roteador usa para isso é na verdade 'br-wan' e você não conseguiu copiar o último caractere para sua pergunta. Parece ser um problema de firewall.
A saída de iptables -L mostra algo peculiar. As regras que permitem o tráfego da LAN para a VPN são:
Chain FORWARD (policy DROP)
delegate_forward all -- anywhere anywhere
Chain delegate_forward (1 references)
zone_lan_forward all -- anywhere anywhere
Chain zone_lan_forward (1 references)
zone_ipr_dest_ACCEPT all -- anywhere anywhere /* forwarding lan -> ipr */
Chain zone_ipr_dest_ACCEPT (2 references)
ACCEPT all -- anywhere anywhere
O sinalizador '--verbose' deve ter certeza, mas com base nos comentários e nomes dessas cadeias, parece que essas regras se aplicam apenas ao tráfego encaminhado para a interface 'tun1337'. Seu iptables não tem regras equivalentes para 'br-wan'. O tráfego encaminhado para a sub-rede do roteador da Internet é eventualmente rejeitado.
Para fazer isso sem adicionar regras manualmente, acrescente as seguintes linhas ao '/ etc / config / firewall':
config forwarding
option src lan
option dest wan
O tráfego por trás do roteador OpenWrt deve agora chegar à sub-rede 192.168.178.0/24, mas não haverá resposta; as máquinas atrás do roteador de internet não sabem rotear pacotes com um destino no intervalo 192.168.1.0/24. A maneira mais fácil de resolver esse problema é fazer com que o roteador OpenWrt realize NAT. Usando o iptables:
iptables -t nat -A POSTROUTING -i br-lan -i br-wan -j MASQUERADE
Meu palpite seria uma regra semelhante criada automaticamente inserindo a linha option masq 1 na configuração da zona wan em '/ etc / config / firewall'.
Existem algumas desvantagens em usar o NAT. Todo o tráfego encaminhado dessa forma aparecerá para as máquinas que estão atrás do roteador da Internet para ter 192.168.178.20 como fonte. Além disso, você precisará configurar a porta para iniciar conexões a partir do lado da WAN do roteador OpenWrt.
Evitar o NAT exigirá mais alterações no firewall e na tabela de roteamento no roteador da Internet. Você precisaria adicionar a rota '192.168.1.0/24 via 192.168.178.20'. Se o roteador não permitir que a tabela de roteamento seja configurada manualmente, você deverá adicioná-los às máquinas na sub-rede 192.168.178.0/24 individualmente. Além disso, as linhas a seguir teriam que ser anexadas ao '/ etc / config / firewall' no roteador OpenWrt:
config forwarding
option src wan
option dest lan