Угу, и когда сервак упадёт, то упадёт и вся сеть. Никогда так не делайте, купите отдельный Микрот.
Можно не путать офис проводами, а закупить WiFi-роутер и WiFi-свистки в каждый комп.
Предположим я на компе с адресом 10.54.2.1 набираю команду "ping 10.54.1.1".
Пакет проходит таблицы mangle prerouting, nat prerouting, mangle forward, filter forward (и вот тут, если у Вас строгая фильтрация и нет правила, разрешающего трафик от 10.54.2.0/24 на 10.54.1.0/24, он и помрет), mangle postrouting, nat postrouting и уже готов отправиться на default gateway, но в этот момент ведро проверяет его по SPD - а не надо ли его зашифровать и переотправить? Ага, пакет подпадает под политику, значит мы его шифруем и преобразовываем. И пакет icmp от 10.54.2.1 на 10.54.1.1 шифруется и упаковывается в пакет esp от 1.1.1.1 на 2.2.2.2!
Пошифрованный пакет ведро снова ренижектит в сетевой стек, он снова - уже в своем новом качестве - проходит mangle output, nat output, filter output (и вот тут, если нет разрешения на трафик в сторону 2.2.2.2 или на протокол esp, он и помрет), mangle postrouting, nat postrouting - и отправляется в тырнет на удаленную точку.
Вот только удаленная точка не захочет его принять, она его отбросит, как поврежденный.
Почему?
Когда пакет проходил nat postrouting, у нас сработало стандатное правило замены src-ip, которое подменяет все внутренние IP на наш внешний IP:
/ip firewall nat
add action=src-nat chain=srcnat out-interface=ether6 to-addresses=1.1.1.1
...и которое заменило IP и нам и при этом поломало контрольную сумму пакета, так что теперь она не сходится и ведро, пытаясь расшифровать ESP-пакет, отбрасывает его, как поврежденный! Что делать? Надо указать не трогать уже подготовленные ESP-пакеты - в них уже все выставлено правильно:
ip firewall nat add action=masquerade chain=srcnat dst-address=192.168.7.240
ip ipsec export
ip firewall export
ip route export
ip ipsec installed-sa print
/interface ethernet
set [ find default-name=ether2 ] disable-running-check=no name=LAN
set [ find default-name=ether3 ] disable-running-check=no name=MGMT
set [ find default-name=ether1 ] disable-running-check=no name=WAN
/ip ipsec peer
add address=100.64.1.2/32 local-address=100.64.0.2 name=peer1
/ip address
add address=100.64.0.2/30 interface=WAN network=100.64.0.0
add address=192.168.7.1/24 interface=LAN network=192.168.7.0
/ip firewall nat
add action=accept chain=srcnat ipsec-policy=out,ipsec
add action=masquerade chain=srcnat log=yes out-interface=WAN
/ip ipsec identity
add peer=peer1 secret=%123456789%
/ip ipsec policy
add dst-address=192.168.0.0/24 sa-dst-address=100.64.1.2 sa-src-address=100.64.0.2 src-address=192.168.7.0/24 tunnel=yes
/ip route
add distance=1 gateway=100.64.0.1