Как два пальца
Код:
/ip firewall nat
add action=dst-nat chain=dstnat dst-address=10.10.10.10 dst-port=11111 protocol=tcp to-addresses=95.108.194.211 to-ports=11111
add action=src-nat chain=srcnat dst-address=95.108.194.211 dst-port=11111 protocol=tcp to-addresses=10.10.10.10
все просто, 10.10.10.10 - мой WAN, 95.108.194.211 - один из IP замечательного allports.jabber.ru, который я часто использую для тестов.
11111 - порт, из головы, но чтобы у меня тут не перекрылся ни с чем.
Первая строка - делаем DNAT, т.е. вкладываем пакет в путь до 95.108.194.211 и запоминаем для возврата ответа.
Вторая строка - делаем SNAT, т.е. маскируем отправленный пакет, как будто бы он отправлен с 10.10.10.10 (WAN), чтобы ушло не напрямую клиенту, а вернулось на 10.10.10.10, поскольку клиент не поймет, если ему с 95.108.194.211 прилетит ответ на пакет, который он слал 10.10.10.10.
Надо понимать, что тому серваку, который в датацентре, должно быть наплевать, что у него все клиенты с адресом 10.10.10.10 (фигурально, у меня, понятно, там еще один NAT по дороге).