Виктор Бельский

Если не сильно заморачиваться, то на каждом роутере-клиенте добавьте статичный маршрут для сети 192.168.0.0/21, а в качестве шлюза укажите адрес vpn сервера (из сети 10.20.1.0/24)

Если роутер осуществляет трансляцию пакетов, т. е. работает в режиме NAT, то как и писалось выше, у него должна быть таблица преобразования с указанием узла и порта назначения. Пакет прилетает на WAN интерфейс, на порт 25565, роутер смотрит есть ли порт назначения в таблице преобразования, если есть, то меняет адрес назначения (и если нужно - порт), на адрес из локальной сети, потом проверяются правила firewall, затем таблица маршрутизации, выяснение на каком интерфейсе адрес назначения, а потом уже arp запрос (если его нет в кэше), для выяснения mac адреса сервера.

Если роутер не осуществляет трансляцию и у сервера белый ip, то сразу правила firewall, таблица маршрутизации, замена src mac. на мак роутера и потом arp запрос с интерфейса на котором доступен сервер.

З. Ы. Все описано немного утрированно.

Как я понял, у вас убунту это шлюз в Интернет с двумя каналами и вы хотите определенные хосты из своей сети отправлять через первый канал, а остальные через второй?

# ip route add default via 28.54.68.54 table 501
# ip route add default via 94.51.58.42 table 502

# ip rule add from 192.168.1.101 table 501
# ip rule add from 192.168.1.202 table 502

Если по простому, без проверки доступности интернета не через шлюз провайдера, то у вас должно быть два маршрута по умолчанию (0.0.0.0) на Микротик 1:
1. 0.0.0.0 через 2.3.4.5 c distnace 1
2. 0.0.0.0 через 172.16.255.2 distnace 2
У обоих check gateway ping
маскарадить пакеты для выходного интерфейса eth0

На Микротрике 2 должен быть маршрут в сеть 192.168.100.0/24 через 172.16.255.1, ну и маскарад для интерфейса eth0