Von einem VPN ins andere...

Du musst auf jeden Fall die Netze hinter dem S2S-VPN als "erlaubte IPs" in die Konfiguration der Wireguard-Clients eintragen. Ich weiß aber nicht, ob Unifi dieses Routing so ohne weiteres hinbekommt und ob es überhaupt möglich ist.

Im Client in der Konfiguration der Verbindung.

Kennt das entfernte S2S Netz denn die IPs der VPN Clients? Mit einfach mal Verbindung aufbauen, wirst Du zu keinem Ergebnis kommen, woran es liegt - es funktioniert einfach nicht. Im Prinzip musst Du den Hin- und Rückweg konfigurieren und HOPweise prüfen ob die Hin- und Rückpakete an den einzelnen Hops wunschgemäß geroutet werden. Bei diesem Fehlerbild bläst in den meisten Fällen einer von beiden Routern die Pakete zum Provider ins Internet, der die entsorgt. Mit "Es sieht so aus" ist also nichts klar.

Bei allem was policy based routing Regeln benötigte, war das definitiv mir Wireguard Einwahlclients nicht möglich, da diese bei den policy based routing Regeln gar nicht auswählbar waren. Mir ist zwar so als ob da irgendwann mal in einer EA Version die Rede von war, aber keine Ahnung ob das inzwischen fertig ist.

Das ist in jedem Fall ein Routing Problem und ggf. zusätzlich ein Firewall Problem. Sinnvoll ist das Ganze ohnehin nur, wenn sich Mitarbeiter im Firmennetz einwählen und dann darüber die S2S Verbindung in ein Rechenzentrum für irgendwelche Anwendungen mitnutzen sollen, so wie die Mitarbeiter in der Firma selbst es tun. Dann ist aber meist, das Problem, dass man selbst im Rechenzentrum gar nichts konfigurieren kann und der Betreiber es oft nicht macht, ggf. weil es netzwerktechnisch zu IP Subnetzüberschneidungen kommen könnte. Dann kann man das Vorhaben schon begraben.