Меняю роутер Zyxel на TP-LINK Archer C6 как поступить

Ох, ТПлинк не самый удачный выбор в случае, если нужен VPN.
Ну раз так, то действительно есть два варианта.
У них есть плюсы и минусы:

1. Альтернативная прошивка с VPN это хорошо, за исключением того, что не все сервисы могут качественно работать

2. Если поднимать туннель с компьютера или Оранжа, то это будет работать, однако возникнет проблема с маршрутами при доступе к устройствам в сети. Поясню.
В случае, когда туннель поднимается с рутера, который одновременно является вашим "шлюзом по умолчанию" для всех устройств в вашей сети, то весь трафик устройств идет на него. И рутер занимается тем, что отправляет пакеты или в Интернет или в VPN туннель в зависимости от таблицы маршрутов.
В случае, когда туннель поднят с любого устройства в вашей сети, отличного от "шлюза по умолчанию" то само устройство должно понимать куда же ему посылать трафик - или в Интернет через ТПлинк или в VPN туннель через Оранж (или компьютер).
Это означает, что маршруты к сети VPNKI (172.16.0.0/16) должны быть прописаны вручную на каждом устройстве сети. И шлюзом для таких пакетов должен выступать Оранж или компьютер с VPN туннелем.
В реальности это неудобно - ведь не все устройства могут иметь возможность добавления статических маршрутов. У меня, например, SIP телефоны не могли это делать и подобная схема не заработала.

Еще один момент - операционная система Linux вполне себе справляется с задачами маршрутизации и поэтому туннель, установленный с нее будет работать так как надо. А вот операционная система Windows далеко не всегда может быть маршрутизатором. То есть если вы поднимите туннель к VPNKI с компьютера с Windows, то эта чудесная операционная система не станет посылать пакеты из VPN туннеля в вашу локальную сеть или WiFi. Можно мудрить с реестром и пытать заставить Windows быть маршрутизатором, но шансов на успех не много. Поэтому в этой схеме лучше забыть о туннеле с ОС Windows.

В сухом остатке, я - за прошивку ТПлинка. Второй вариант сложен, но будет работать. А вот эксплуатировать это будет затруднительно и через полгода вы уже и не вспомните что и где там нужно добавлять с маршрутами. Это если речь пойдет о включении нового устройства в домашнюю сеть.

Да, в случае с доступом к Оранжу проблем быть не должно.
Насчет маршрутов. Да, можно поступить так как вы говорите, а именно - прописать на ТПлинке маршрут к сети VPNKI 172.16.0.0/16 через Оранж (например какой-нибдуь192.168.1.77).
Однако в голове у некоторых домашних маршрутизаторов может возникнуть проблема с тем, что "Домашняя сеть" (так у некоторых рутеров именуется интерфейс) имеет еще какой-то маршрут куда-то. Я встречал такое и маршрутизация по факту не работала. То есть из Домашней сети пакеты доходили до маршрутизатора, а вот уйти обратно в интерфейс домашней сети они не могли и сбрасывались. Это ненормальная конфигурация для некоторых устройств - ведь они заточены под то, чтобы трафик домашней сети посылать куда угодно, кроме как не назад. В общем, конечно, это предмет тестирования, но гарантированно заработает наличие двух маршрутов на клиентском устройстве.