VPN mit DS-LITE

Das muss nicht mal VPN sein. Jeden Dienst kann man ohne DS-Lite dann sowohl für IPv6 als auch IPv4 von außen erreichen. Auch gänzlich ohne VPN. Wie sicher das ist ist eine andere Frage. Das ist richtig so.
Nun ja, das geht ja per se immer ! Du hast sowohl bei einem normalen Dual Stack als auch bei IPv6 eine IPv6 Verbindung ja immer sicher. Die ist also immer da und soweit der Client mit dem man zugreifen will auch IPv6 Connectivity hat geht das immer. Auch das ist richtig.
Wozu den VPN Dienst ???
Du bekommst als IPv6 Kunde immer einen öffentliche IPv6 Netzwerk Adresse für dein privates LAN zuhause. Sprich das LAN ist also aus dem Internet IMMER per IPv6 zu erreichen.

Die Lösung ist kinderleicht und du hast sie oben auch schon selber genannt !
Setze dir einen RasPi mit OpenVPN auf in deinem lokalen Netz. Gib dem eine externe IPv6 Adresse um den Server per v6 von außen zu erreichen und im Tunnel machst du dann entweder nur v4 wenn dir die v4 Connectivity allein reicht oder eben beides.
So kannst du den Client über den OpenVPN v6 Tunnel mit v4 IP Adressen intern problemlos erreichen.
War aber oben schon gesagt das es so problemlos klappt.
v4 seitig aber nur mit deinen lokalen v4 Adressen. v4 ins Internet.
Fazit: Ja, das klappt was du vorhast.
Es setzt aber voraus das der Client mit dem du zugreifst, wo immer er auch ist, IPv6 Conectivity hat.

Warum nicht ?? Ist in 5 Minuten erledigt:
https://jankarres.de/2013/05/raspberry-pi-openvpn-vpn-server-installiere ...
Wo genau ist dein Problem ??
Ist ja Unsinn. apt install openvpn und der Rest ist in diesem Tutorial beschrieben:
OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router
Was willst du mit irgendwelchen ominösen Scripten ??
Dir ist hoffentlich klar das du die Router Firewall entsprechend einstellen muss das du von außen IPv6 mit UDP 1194 auf die lokale IPv6 Adrese deines OpenVPN Servers öffnen musst ?
Logisch, denn im Default blockt die Router IPv6 Firewall ALLES was von externen IPv6 Netzen in dein Lokales will !
Das hast du doch ganz sicher vergesen, oder ??
In einer Kaskade musst du das ggf. 2mal machen !
Temporär solltest du da auch ICMP Echo Requests freigeben, denn dann kannst du mit pingv6 den OVPN Server von extern pingen und checken ob er erreichbar ist.
Später dann ICMP wieder blocken.
Was denn UDP oder TCP ?? OVPN nutzt UDP sofern man nichts anderes erzwungen hat in der server.conf Datei.
Hilfreich wäre auch wenn du die hier mal posten würdest inkl. der Firewall Regeln.

Noch hilfreicher wäre mit apt install tcpdump einen Paket Sniffer auf dem OVPN Server zu installieren und dann mal mit tcpdump port 1194 zu sehen ob dort überhaupt UDP 1194 Pakete eingehen !!
Tun sie das nicht wenn du den Client startest, dann weisst du das deine Firewall Einstellungen FALSCH sind !!!
Du kannst dch doch kinderleicht da rantasten....

• Erstmal greifst du mit einem lokalen Client auf den Server zu und siehst dir das mit tcpdump an. So weisst du wie es funktioniert und wie der OVPN Server reagiert !
• Dann klemmst du den Client in das Transfernetz zw. FB und ER und greifst wieder auf den Server zu. Wieder solltest du die UDP 1194 v6 Pakete am Server sehen mit tcpdump sollte deine FW Regel richtig sein !
• Das gleiche machst du nun von extern mit IPv6. Da du weisst das die Regel am ER ja richtig ist wenn du im vorangegangenen Sc hritt alles OK war, dann weisst du das der Fehler dann nur noch in den FB v6 Regeln liegen kann.

Eigentlich doch ganz logisch und einfach.
Ganz wichtig ist das der OVPN Server erstmal mit einem v6 Client im lokalen Netz wasserdicht auf richtige Funktion getestet ist !!