> там много чего еще нет - передачи маршрутов, hub/spoke, сертификатов и пр.

hub/spoke вообще не проблема сделать. На клиенте пишешь AllowedIPs = 10.0.0.0/24 и прописываешь соответствующий маршрут через Wireguard-интерфейс. На сервере тоже маршрутизируешь всю подсеть через интерфейс, но в конфиге у каждого пира пишешь что-то типа AllowedIPs = 10.0.0.5. Wireguard сам определит, какому конкретно пиру отправлять данные. Если пользоваться wg-quick, то маршруты будут сами прописываться.
> сертификатов

В каком смысле? Авторизация/аутентификация по ключам там уже есть. Нужен именно CA, PKI?
> передачи маршрутов

Этого да, к сожалению, нет. Но если хочется - не проблема написать скрипт, который бы по SSH забирал нужные адреса с сервера. Теоретически можно прицепить IGP, но я не пробовал, так что не предлагаю как решение.

В любом случае, есть IKEv2, в котором всё перечисленное уже давно имеется, а также есть то, чего в OpenVPN нет и вряд ли в ближайшее время появится (многопоточное шифрование/дешифрование, Mobike, т.е. бесшовный роуминг, ChaCha20-Poly1305). И работает он в линуксе так же быстро, как и Wireguard.