[Tonny_Bennet]

NAT в VPN сети как мне кажется не нужен.

Как сделал я:
- у всех филиалов разные непересекающиеся сети 192.168.88.0/24, 192.168.77.0/24, 192.168.66.0/24,
- отдельная сеть для VPN клиентов и VPN сервера 192.168.22.0/24 (можно взять сеть меньше; /29 вам подойдёт)
- настроить подключение между VPN сервером и VPN клиентом
- прописать маршруты между сетями, через VPN интерфейсы.

Что получим в итоге:
- из любой точки сети можно подключиться в любую точку сети (в условиях работы NAT это в общем виде невозможно)
- ресурсы роутера расходуются оптимальнее т.к. маршрутизировать пакет проще чем натить
- схема логичнее.