/ip firewall nat add action=dst-nat chain=dstnat dst-port=1080 in-interface=WAN protocol=tcp to-addresses=192.168.20.10 to-ports=1080
Дальше все зависит от того, нужно ли вашему серверу знать ip адреса с которых к нему подключаются или нет, если нет, то вам нужно сделать маскарадинг трафика который направляется на адрес 192.168.20.10 и порт 1080
/ip firewall nat add action=masquerade chain=srcnat dst-address=192.168.20.10 dst-port=1080 protocol=tcp src-address=!192.168.10.0/24
Тогда пакеты к веб серверу будут прилетать с адресом интерфейса R-01, который смотрит в сторону R-02.

Если же нужно сохранить адрес источника, то маскарадить трафик не нужно, а на R-02 нужно маркировать трафик пришедший с интерфейса смотрящего в vpn туннель, направляющейся на 192.168.20.10 и потом возвращать его не через шлюз по умолчанию, а в туннель.

Вот легкая расшифровка того о чем вам указали выше =)
У вас филиал 10.10.5.0/24 явно не знает о существовании 192.168.100.0/24, нужно ему об этом рассказать. Либо прикидываться 192.168.5.0/24 при передаче из 192.168.100.0/24 в 10.10.5.0/24.