Вопрос по совмещению NAT и маршрутизации.

Да, конечно. Ну, поскольку NAT в RouterOS строго основан на политиках, а не на интерфейсах, решение о применении NAT для данного пакета полностью зависит от того, что определено в /ip firewall nat. Поэтому, например, можно использовать исходный адрес IP-пакета – если это адрес RFC1918, то применять NAT, иначе просто пропускать его без изменений. Есть небольшой пример в руководстве RouterOS 2.9 в главе IPsec, под названием «IPsec Между двумя маршрутизаторами MikroTik с использованием Masquerading», который показывает, как настроить цепочку NAT, чтобы явно пропускать определенный трафик, просто принимая его вместо того, чтобы маскировать. В этом примере IPsec это делается так, чтобы трафик, который будет проходить через туннель между двумя сетями RFC1918, сохранял свои приватные адреса с обеих сторон и не маскировался. Можно использовать ту же технику, или изменить логику и маскировать только трафик, который поступает с / предназначен для адресов RFC1918, например. –Том

Проверил тест, используя эту справку… получилось вот что. [admin@MikroTik] ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic
0   chain=srcnat dst-address=10.0.1.0/24 action=passthrough
1   chain=srcnat dst-address=192.168.0.0/24 action=masquerade
Настроил с нужными маршрутами для NAT и обычной маршрутизацией, и трафик пошел так, как я и ожидал. Пришлось изменить стандартную настройку MT nat, чтобы там был dst-адрес вместо выходного интерфейса. Оказалось гораздо проще, чем я думал. Посмотрим, как это будет работать на практике! Danke!