Du musst keinen Port forwarden.
Zu Iptables.
Wenn der Tunnel besteht und der VPN dein default Gateway ist läuft aller Traffic, ausser der deines lokalen Netzwerkes über den Tunnel
Falls der Tunnel mal ausfällt gibt es zwei Varianten.
1. du regelst über IPTables das der Raspi nur mit dem VPN Anbieter sprechen darf. Wenn der Tunnel aufgebaut ist, geht der Traffic dann über den VPN.
2. Du setzt kein Standard Gateway. Dafür aber nur eine Route zu deinem VPN-Anbieter. OpenVPN setzt dann nicht mehr automatisch das Standardgateway.
In der Conf kannst du dann ein Script aufrufen welches das Gateway setzt.
Alles kein Hexenwerk.