Mangle + NAT + Policy Routing.

/ ip firewall mangle
add chain=prerouting src-address=192.168.1.150 dst-address=213.206.94.83 action=mark-connection new-connection-mark=dip_kav passthrough=yes

add chain=prerouting connection-mark=dip_kav action=mark-routing new-routing-mark=dip_kav passthrough=no

/ ip route
add dst-address=0.0.0.0/0 gateway=81.25.36.1 scope=255 target-scope=10 routing-mark=dip_kav comment="ftp.kaspersky.ru" disabled=no

/ ip firewall nat
add chain=srcnat src-address=192.168.1.150 action=masquerade comment="" disabled=no

Используй адресную книгу `address-list 1-st add` и добавляй туда все IP-адреса, которые хочешь пометить: `/ip firewall address-list add list=list1 address=192.168.1.51 disabled=no`

`/ip firewall address-list add list=list1 address=192.168.1.52 disabled=no`

.
.
.

`/ip firewall address-list add list=list1 address=192.168.1.100 disabled=no` и затем меняй другие правила: `/ip firewall mangle`
`add chain=prerouting src-address-list=list1 dst-address=213.206.94.83 action=mark-connection new-connection-mark=dip_kav passthrough=yes`

`add chain=prerouting connection-mark=dip_kav action=mark-routing new-routing-mark=dip_kav passthrough=no`

`/ip route`
`add dst-address=0.0.0.0/0 gateway=81.25.36.1 scope=255 target-scope=10 routing-mark=dip_kav comment="ftp.kaspersky.ru" disabled=no`

`/ip firewall nat add chain=srcnat address-list=list1 action=masquerade`  Затем, если тебе нужно добавить новый IP в эти правила mangle, достаточно сделать: `/ip firewall address-list add name=list1 address=<NEW-IP> disabled=no`

Все равно не работает, мне это нужно для OpenVPN, не могу заставить это работать.

@nichky, скажи, в твоём случае, этот Mikrotik с этими правилами — OpenVPN клиент или сервер? Или он ни то, ни другое, а просто перенаправляет чужие OpenVPN-соединения? В любом случае, просто назначение connection-mark не влияет на маршрутизацию, нужно где-то переводить connection-mark в routing-mark. Если сам Mikrotik является клиентом или сервером OpenVPN, тебе, возможно, придётся назначить connection-mark, и однозначно нужно назначить routing-mark в цепочке output в mangle, а не в цепочке prerouting.

Окей, так вот, тебе нужно src-nat трафик полезной нагрузки (отправленного внутри туннеля). Но твое правило action=mark-connection срабатывает на protocol=tcp src-port=1198, что, кажется, относится к транспортным пакетам OpenVPN (составляющим туннель). Поскольку IP-файрвол не знает о взаимосвязи между пакетами полезной нагрузки и транспортными, эта идея не работает. К тому же, само правило action=mark-connection на самом деле никогда не срабатывает, потому что транспортные пакеты отправляются самим роутером, а не пересылаются с ether9, и потому что пакеты, отправленные самим роутером, никогда не попадают в цепочку prerouting. Вот почему я и спрашивал о роли роутера в общей топологии OpenVPN. Так что чтобы получить то, что тебе нужно, забудь о маркировке соединения, и сделай следующее (в точном порядке):
/interface list add name=ovpn-client
create an action=masquerade rule matching on out-interface-list=ovpn-client
just before or just after the current individual rules matching on out-interface= __
/ppp profile add copy-from=[/interface ovpn-server server get default-profile] name=ovpn-profile interface-list=ovpn-client
at a time when a short-time disconnection of all clients is acceptable :
/interface ovpn-server server set default-profile=ovpn-profile
(if you refer to customized /ppp profile rows from the /ppp secret rows, add interface-list=ovpn-client to these customized profiles instead).
Когда ты меняешь настройку OpenVPN сервера, сервер завершает все соединения, и клиенты переподключаются (жаль, но именно так реализовано сейчас). Каждый раз, когда клиент подключается, динамически создаваемый интерфейс будет добавлен как член в список интерфейсов, указанный в профиле, так что новое правило action=masquerade будет обрабатывать соединения, установленные через этот динамический порт. Я не уверен, будет ли это работать, если у тебя есть вручную созданные статические /interface ovpn-server строки для клиентов, тебе нужно попробовать - если нет, добавь эти статические интерфейсы как членов списка интерфейсов вручную, или просто удали статические элементы, если они не имели другой цели, кроме правила masquerade.

Более точно, значение профиля из /ppp secret переопределяет значение default-profile из /interface xxx-server server. Так что да, если вы указываете профиль в каждой строке /ppp secret, нет необходимости менять “профиль последнего средства”, связанный с сервером. То, что я немного говорю на каком-то языке, ещё не значит, что я с Балкан. Но он мне ближе, чем сейчас тебе.