oui, c'est comme ca, sauf si tu demandes à ton serveur VPN de faire du Bridge et pas du routing. (si j'ai bien compris).
Ici, c'est comme ca que ca fonctionne. Les clients VPN ont des IP d'un range à part. Très pratique pour limiter l'accès à certaines choses sur base de la provenance.
C'est le serveur VPN qui fait le routage mais pour que ca fonctionne par défaut, il faut que ton serveur VPN soit aussi la passerelle par défaut du Lan, sans quoi les machines du lan n'ont pas de route vers les IP des clients vpn et donc les requètes n'aboutissent jamais.

Pour contourner le problème, on peut dire au serveur vpn de faire du NAT.
RFR est très calé dans le domaine. Pour ma part, j'ai compris comme fonctionne le nat, mais je ne sais pas te donner la ligne de commande à faire manger à IPtable