Wenn ich da nur gewisse Subnetze reinklatsche, werden die anderen dann geblockt oder geht das über das "normale" Internet?
Du baust Dir wie bei jedem anderen Tunnel ein Linknetz auf, für das Du die „internen“ IPs nützt. Natürlich geht der Traffic von dort zum anderen Knoten in Deinem VPN (Peer, Allowed IPs) in diesem Linknetz dann über das „normale Internet“ - je nach Einstellung verschlüsselt.
Wohin ansonsten geroutet wird, bestimmt die Routingtabelle.
Hier gilt der Grundsatz: speziellere Route vor allgemeiner Route. Die allgemeinste Route ist 0.0.0.0/0, gefolgt von 0.0.0.0/1 und 128.0.0.0/1. Die speziellste Route ist /32, also eine einzelne IP-Adresse.
Wenn Du also nicht den gesamten Traffic über den Tunnel senden möchtest, achte darauf, dass keine Defaultroute zum Tunnelinterface zeigt, sondern über das „normale“ Netzwerkinterface via Gateway.