Пример работы с TAP, без использования моста:
В локальной сети офиса 192.168.1.0/24 есть сервер приложения, с которым необходимо работать удаленным пользователям. В сети офиса с ним поднят сервер OpenVPN. Находится за NATом, порт к нему проброшен. Всем клиентам назначены статические сетевые адреса внутренней сети VPN 10.0.1.0/24 (в каталоге на сервере для клиентов соответствующие файлы настроек со строкой ifconfig-push 10.0.1.11 255.255.255.0) и включена возможность видеть друг друга client-to client. Т.е. у сервера из сети 192.168.1.0/24 будет адрес 10.0.1.10 из сети VPN, у клиента 10.0.1.11 и т.д. Причем клиентом может быть роутер с включенным НАТом. Чтобы увидеть клиента за натом, нужно пробросить порт на клиентском роутере.