oldbro

DNAT на внутренний хост из мира делается так:

ip firewall nat add action=dst-nat chain=dstnat dst-port=5060 in-interface=eth1 to-addresses=192.168.0.250 to-ports=5060

Кривой вариант: Отобрать часть адресов у здания #3, выдвая там ххх.ххх.1.129 - xxx.xxx.1.254. А в здании #2 выдавать xxx.xxx.0.101 - xxx.xxx.1.127.
Правильный вариант: составить новый план сети, выделив каждому зданию свою подсеть, а не как у Вас сейчас - все три здания в одной сети.