correcto lo que indica el compañero si estas trabajando con WPAD el proxy podrías valerte de ello para definir que equipos deben ir por proxy y cuales no…. Esto definitvamente solventa el problema de conexion de esos clientes sin que estos esten enterado del todo...

Adicionalmente podrias crear una regla denegando el acceso a proxy y hasta podría colocar un pequeño portal informativo si así lo requieres para que cuando el cliente posea activa la opción "detectar automáticamente" pueda ser orientado en ello y redireccionado a la ayuda o informacion. Obvio esto supone un poco mas de trabajo y cierto requisitos.

Todo depende que necesita realmente en su entorno...

Creo que en tu proxy.pac (y/o wpad.dat , wpad.da) , podrias definir que si el cliente pertenece a una red (la de la OpenVPN) , no use proxy.

Por ejemplo

Si pertenece a la red 10.0.0.0/24 que no use proxy.

if (isInNet(dnsResolve(host), "10.0.0.0", "255.0.0.0")) return "DIRECT";

Salu2