OpenVPN, tap и ARP

может client-to-client убрать?

client-to-client — это опция сервера, а я настраиваю клиента
У кого-нибудь ещё есть предложения?

Как виртуальное сетевое устройство используется tap (переделать с tun нельзя).

Поподробней можно, что это за дистр такой в котором только tap? Не о «TAP-Win32 Adapter» в оффтопике речь ли? А то насколько я знаю, на кернел.орг о том, что в ядро обычно в дистрах встроено из коробки, написано «Universal TUN/TAP device driver.»
В оффтопике пишут «TAP-Win32 Adapter», но он в зависимости от конфига опенвпна работает и как «dev-type tun» и как «dev-type tap»
Не кидайте в меня камнями если я чего-то не знаю, что знаете вы.

ему нужен туннель для езернета, а не просто для IP

я потому и предположил, что оттудова лезут маки других клиентов, видимых по client-to-client

В ядре конечно есть и tun и tap, вот только конец OpenVPN-туннеля на сервере настроен как tap, и я должен настроить свой конец туннеля тоже как tap.

Извините, теперь понятно )
Теперь мне тоже интересно, как такое пофиксить.
Посмотрите тут, может набредёте на решение в главе «Методы предотвращения».