Du coup, maintenant le problème c'est que tu veux que "Serveur 1" passe par le VPN, sauf si c'est une réponse à une connexion entrante par le WAN. Tu es obligé de faire ça parce que si tu sors par le VPN, alors l'adresse source des paquets n'est pas l'adresse sur le WAN, et c'est ce qu'un client attend...

Franchement, je ne vois pas comment résoudre ce problème.

Si ton hote source sur internet a une ip fixe, tu peux t'en servir pour l'identifier dans ton routage.
Si dynamique, tu peux éventuellement identifier un port fixe si il se connecte toujours sur le même service (par exemple ssh).

Actuellement :
Si IP source = Server 1 => utiliser VPN

Tu rajoutes une règle (lordre est important) :
Si IP Dest = IP Publique identifiée => utiliser WAN (OU Si port source Serveur 1 = SSH (par exemple) => utiliser WAN )
Si IP source = Server 1 => utiliser VPN

Est-ce possible sur EdgeRouter, par contre je n'en sais rien mais sur certain routeur (Cisco) c'est possible.

Tu ajoute une 2eme ip locale a serveur1 qui sortira via le NAT du wan et qui servira a le joindre depuis Internet sur les ports que tu ouvriras sur ce NAT. il suffit que cette 2eme ip ne soit pas dans le groupe "VPN_address".

Plus propre 

Imaginons que ce soit du SSH. On est d'accord la connexion va s'initialiser depuis le WAN sur le port 22.
Mais une fois que le serveur aura reçu la demande de connexion, il va choisir un port aléatoire non ? Et du coup je ne pourrais pas savoir quelle port de sortie filtrer.
Arrêtez-moi si je me trompe.

non le serveur aura toujours 22 de son coté. c'est le client distant qui choisi un port éphémère aléatoire pour recevoir les paquets.

coté serveur: source port=22, destination port = X (sens sortant du serveur, entrant dans le port lan du  routeur)
coté client: source port=X , destination port = 22 (sens sortant du client, entrant dans le port wan du routeur)

donc tu peux imposer que le traffic 22 passe par WAN et pas par le VPN mais dans ce cas tu ne pourra pas ssh depuis le VPN.

il faut exclure "source port = 22"  de VPN_address ou n'y mettre que les ports qui doivent passer par le vpn (c'est surement plus simple).

Avoir l'access ssh a la fois depuis wan et depuis le vpn n'est pas possible ... sauf avec peut-etre du double NAT ou si on considere une config dual wan (le vpn étant vu comme un 2eme wan) avec load balancing et sticky sessions (mais je ne sais pas si on peut faire un group de load balance avec un port physique et un port vpn ...). a méditer. sinon tu mets un autre routeur devant serveur1.