Routing über 3 Netze mit Monowall

Mit Routen hat dein Problem rein gar nix zu tun...vergiss das also !
Etwas verwirrend ist das ja schon was du da schreibst, speziell der Punkt 4 mit dem VPN ! Aber egal für die Funktion die du erreichen willst ist das erstmal egal.
Vermutlich scheiterst du, wie immer bei diesen Fragen, an den Firewall Regeln weil du eine falsche Logik in der Regelreihenfolge verwendest.
Die beiden Tutorials:
Preiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät
und
WLAN oder LAN Gastnetz einrichten mit einem Captive Portal (Hotspot Funktion)
gehen in mehreren Hinweisen explizit darauf ein aber wir wiederholen das gerne nochmal für dich.
Die 2 eisernen Firewall Regel Grundlagen sind:

• Regeln gelten immer nur eingehend ! Also für Pakete die ins FW Interface reinkommen !
• Die Regeln funktionieren nach dem sog. "First match wins" Prizip. Also beim ersten Regelsatz der zutrifft werden darauf folgende Regelsätze nicht mehr abgearbeitet. Du kannst also nicht erst was erlauben und dann verbieten. Die Reihenfolge ist also immens wichtig für die korrekte Funktion.

Desweiteren solltest du beachten das eine Firewall generell alles verbietet an den Ports sollten keine Regel in den jeweiligen Portregeln definiert sein (Default bei den OPT Interfaces !)
Spezielle Routing einträge brauchst du keine ! Logisch, denn alle IP Netze sind ja direkt an der FW angeschlossen und diese "weiss" somit wie sie alle Netze erreichen kann.
Oben schreibst du "IP:190.68.0.1" Dieses Netzwerk taucht aber nirgendwo auf bei dir und ist auch kein RFC1918 Netz.
Vermutlich ein Tippfehler, oder ??
Also der Reihe nach:

• WAN Port sollte soweit OK sein. Funtioniert ja alles. Wichtig ist nur hier das die am WAN Interface unten den haken beim Blocking der RFC1918 IP Netze entfernst weil du ja so eins zur FB hast. Vermutlich aber hast du das gemacht da es ja klappt ?!
• Der LAN Port hat per Default eine any zu any Firewall Regel. Leider hast du hier keine Port Regeln gepostet so das eine zielführende Hilfe nicht möglich ist und wir mal wieder raten müssen Raten wir aber mal das du diese Regel nicht verändert hast ?! Also so lassen...
• Kommen wir zum Wohnheim Interface OPT1, 10.16er Netz. Per Default ist hier in den Port FW Regeln alles verboten (keine Regel) Nehmen wir mal an du hast das nicht verändert dann kommen Pakete noch (da outgoing) vom LAN ins OPT1 zu einem Endgerät dort. Das Endgerät will das Paket zurücksenden mit einer Ziel IP aus Port LAN bleibt nun aber logischerweise in den FW Regeln am OPT1 Port hängen denn die blocken das logischerweise !

Kommt man eigentlich auch ganz leicht von selbst drauf wenn man schon eine FW betreibt, oder ??!
Du hast nun 2 Optionen am OPT 1 Port:
1.) Entweder trägst du hier auch eine Scheunentor FW Regel ein wie am LAN Port also any zu any jeder darf überall hin. Oder...
2.) Wenn du nur vom OPT1 Netz ins LAN willst und sonst nix dann eben nur eine Regel:
ALLOW Source: OPT1 network, Port any, Destination: LAN network, Port any
Fertisch
Dann können OPT1 Rechner auf LAN Rechner zugreifen aber nix anderes also auch nix Internet.
Falls du Regeln schon hast. dann beachte die Reihenfolge dieser am OPT Port !

Den Rest mit dem Punkt 4. und dem VPN Kauderwelsch versteht kein normaler ITler aber nundenn das ist ja auch nicht dein Problem dieses Threads.
Nochwas: Es macht Sinn schlauerweise immer mal bei solcher Art Problemen ins Firewall Log zu sehen !!
Dort steht meistens sehr genau WAS und WARUM es geblockt wurde so das man den Fehler schnell selbst fixen kann !!
Und nochwas zur Adressierung. Du solltest nie einer FW oder Router per DHCP IP Adressen vergeben. Besser ist immer statisch. Wenn du irgendwann mal mit z.B. VPNs arbeiten musst oder willst musst du Port Forwarding auf der davorliegenden FritzBox machen. Zeigt der PFW Eintrag auf eine dynmaisch vergeben IP die sich irgendwann mal ändert muss man dir hier nicht mehr groß beschreiben was passiert.... Router, FWs, Server, NAS usw. haben immer feste statische IPs !!