res2001

Зачем вы используете эти мануалы? Что вы хотите получить в итоге?
Это какое-то масло маслянное. Вы заворачиваете одно шифрованное соединение в другое шифрованное соединение. Это, наверное, круто, но смысла в этом нет. Объясните зачем это вам?
1194 порт openvpn по умолчанию и этот порт UDP. Хотя никто не мешает использовать этот же порт на TCP. И этот порт можно поменять.
Но stunnel использует SSL и TCP. Наиболее распространенный порт для этих целей - 443 - это порт для HTTPS трафика по умолчанию. Поэтому тут предлагается использовать порт 443. Но вы не обязаны это делать - выбирайте любой порт какой хотите.

Accept вообще используется адрес 127.0.0.1

Эта фраза говорит stunnel, что надо слушать только локальный (127.0.0.1) порт 443, т.е. он не будет принимать соединения с внешних адресов. Это делается, обычно, когда вам нужно зашифровать трафик какого-то приложения (если оно само не умеет это делать). Тогда приложение и stunnel запускают на одном компе и stunnel слушает только локальный порт. Приложение при этом соединяется с stunnel.

Забейте. OpenVPN сам умеет в HA/failover: https://openvpn.net/community-resources/implementi...

В конфиге openvpn есть директива status - в ней можно задать путь к файлу куда openvpn будет складывать текущую информацию по подключенным соединениям. Чем парсить - фиг знает, разбирайте его сами, лог простой.

В директивах log или log-append - указываете общий файл лога, туда льется вся остальная инфа от openvpn.
Уровень логирования задается с помощью verb.

VERIFY ERROR

unable to get issuer certificate

Возможно вы сгенерировали сертификат для сервера, подписанный одним ключом ЦА, а сертификат клиента другим ЦА.
Возможно вы не подложили новый сертификат ЦА для сервера и т.п.
В общем сертификат ЦА должен быть одним и тем же для сервера и клиента, ключи сервера и клиента должны быть подписаны одним и тем же ЦА. Пути в конфигах сервера и клиента должны указывать на правильные сертификаты.

easyrsa - это всего лишь легкая обертка над openssl, так что суть одна и та же. Должны работать оба варианта.
В easyrsa используется свой конфиг файл для openssl, возможно там какие-то отличия от того, что вы использовали во втором варианте, сравните их.
Можно сравнить и используемые команды openssl.

А у вас компы внутри сети знают про маршрут к ВПН клиенту?
Это работает сразу только в случае, если ВПН сервер является одновременно и шлюзом по умолчанию для компов внутри сети. На сколько я понимаю, это не ваш случай. Если это так, то нужно на компах прописать маршрут к ВПН сети и шлюзом указать внутренний адрес ВПН сервера. Маршруты можете прописывать любым доступным способом: руками, через DHCP, через GPO ...

Ошибка не там где вы указали, а в теге tls-crypt.
Какая версия openvpn на клиенте? tls-crypt появился только в версии 2.4
Используйте tls-auth.