Кирилл: вторую половину вы конечно проигнорили...
проблема в том что пакет от 2.2.2.2 приходит на 1.2.3.4, проходит dst-nat и становится пакетом от 2.2.2.2 к 192.168.200.100, приходит на сервер и уходит обратно через default шлюз, а именно на 192.168.200.254, на нём пакет идёт по тому-же default route, если нет более короткого префикса, соответственно обратно к 2.2.2.2 пакет уходит с другим внешним адресом, да ещё и с другого порта. либо делайте src-nat для пакетов к 192.168.200.100 на маршрутизаторе 192.168.100.254, либо поднимайте полноценный connection track с маркировками и несколькими таблицами маршрутизации
Денис Сечин:
1) никто не мешает провайдеру поднять у себя в т.ч гугловские адреса
2) никто не мешает ему снифить трафик и резать/заворачивать к себе неугодное