Т.е. у Вас WAN неастроен как PPTP? Только провайдер не считает заголовки, тот же NetFlow считает payload без заголовков.

Неастроен? Извините, не могу понять, какое слово закодировано?
PPTP на интерфейсе WAN. И, вполне такое возможно, пользователь VPN идет обратно в WAN за почтой или веб-страницей. Отсюда и вопрос: как посчитать трафик из WAN до VPN сервера, а не только то, что идет от самого VPN.

Давайте Вы сначала попробуете завести логирование правила pptp->wan, а потом судя по логам мы посмотрим как оно будет считаться

FW: PPTP: prio=2 id=02700019 rev=1 event=pptp_tunnel_up iface=VPN remotegw=91.192.189.149
FW: PPTP: prio=3 id=02700012 rev=1 event=pptp_session_up callid=0 iface=VPN remotegw=91.192.189.149 user=v auth=None mppe=RC4-128 assigned_ip=192.168.0.97
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4896 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4898 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4900 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4902 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4904 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4906 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WAN_ping conn=open connipproto=ICMP connrecvif=VPN connsrcip=192.168.0.97 connsrcid=1024 conndestif=wan2 conndestip=195.2.91.125 conndestid=1024
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4908 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4910 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4912 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: CONN: prio=1 id=00600001 rev=1 event=conn_open rule=VPN-to-WANs conn=open connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4914 conndestif=wan2 conndestip=65.217.158.132 conndestport=80
FW: PPTP: prio=2 id=02700008 rev=1 event=pptp_session_closed iface=VPN remotegw=91.192.189.149 callid=0
FW: PPTP: prio=2 id=02700022 rev=1 event=pptp_tunnel_closed iface=VPN remotegw=91.192.189.149
FW: CONN: prio=1 id=00600002 rev=1 event=conn_close action=close rule=PPP_PPTPBeforeRules conn=close connipproto=GRE connrecvif=core connsrcip=195.182.157.246 connsrcid=0 conndestif=wan2 conndestip=91.192.189.149 conndestid=0 origsent=112555 termsent=70194
FW: CONN: prio=1 id=00600002 rev=1 event=conn_close action=close rule=VPN-to-WANs conn=close connipproto=UDP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=138 conndestif=wan2 conndestip=255.255.255.255 conndestport=138 origsent=812 termsent=0
FW: CONN: prio=1 id=00600002 rev=1 event=conn_close action=close rule=VPN-to-WANs conn=close connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4834 conndestif=wan2 conndestip=65.217.158.132 conndestport=80 origsent=1391 termsent=1584
FW: CONN: prio=1 id=00600002 rev=1 event=conn_close action=close rule=VPN-to-WANs conn=close connipproto=UDP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=68 conndestif=wan2 conndestip=255.255.255.255 conndestport=67 origsent=656 termsent=0
FW: CONN: prio=1 id=00600002 rev=1 event=conn_close action=close rule=VPN-to-WANs conn=close connipproto=UDP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=137 conndestif=wan2 conndestip=255.255.255.255 conndestport=137 origsent=1536 termsent=0
FW: CONN: prio=1 id=00600002 rev=1 event=conn_close action=close rule=VPN-to-WANs conn=close connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4876 conndestif=wan2 conndestip=194.67.45.98 conndestport=80 origsent=607 termsent=629
FW: CONN: prio=1 id=00600002 rev=1 event=conn_close action=close rule=VPN-to-WANs conn=close connipproto=TCP connrecvif=VPN connsrcip=192.168.0.97 connsrcport=4832 conndestif=wan2 conndestip=65.217.158.132 conndestport=80 origsent=1391 termsent=1584
FW: CONN: prio=1 id=00600002 rev=1 event=conn_close action=close rule=PPP_PPTPBeforeRules conn=close connipproto=TCP connrecvif=wan1 connsrcip=91.192.189.149 connsrcport=4825 conndestif=core conndestip=195.182.157.246 conndestport=1723 origsent=932 termsent=1068

Из лога: оно почему-то переоткрыло сессию в процессе работы и не закрыло ее затем. А то, что в конце сессии написано, что за эту сессию было принято-передано - это просто замечательно.