Depois de criar o túnel, você terá uma nova interface, para a qual você pode criar regras personalizadas. Se nenhuma regra for definida, o pfSense bloqueará qualquer tráfego. Como tal, você precisa especificamente permitir determinados dispositivos. Crie um alias para a rede VPN (172.16 ..) no roteador 1 e outro para os clientes permitidos.
No roteador 2, sob regras, na interface do túnel, permita o tráfego da rede VPN para os clientes permitidos. Na interface LAN, permita o tráfego dos clientes permitidos para a rede VPN.