ТЕМА: Проброс портов через VPN в удаленную сеть

Есть задача:
Нужно обеспечить доступ извне с любого IP адреса к http серверу в локальной сети за VPN

Есть два микротика (А и Б), соединены по L2TP+IpSec.
Сети, к примеру,
А 192.168.88.0/24 + внешний IP 9.9.9.9
и Б 192.168.90.0/24

Статические маршруты между сетями прописаны, внутри локальной сети видимость сетями А и Б есть.
На роутере A сделан проброс 80 порта до компьютера с http сервером в сети за роутером Б ( 192.168.90.2 )

Предположим, я захожу с какого-то внешнего интернет адреса 8.8.8.100 на 9.9.9.9:80
Но до тех пор, пока я явно не пропишу на роутере Б обратный маршрут для конкретно адреса 8.8.8.100 через VPN, а не дефолтный gateway, получаю таймаут.

Нужно как-то маркировать на роутере Б внешние адреса и делать динамические обратные маршруты, но не смог понять, как это сделать. Роутер Б ничего не знает про адрес 8.8.8.100, т.к. запрос пришёл через VPN соединение.
Делать VPN маршрут дефолтным на роутере Б - не вариант.
Маркировать (routing_mark) входящие по VPN пакеты и делать обратный маршрут 0.0.0.0/24 с этой маркировкой - тоже не получилось

Схема точно такая же, как в этой статье
Проброс портов через интернет-канал VPN-сервера в удаленную локальную сеть за VPN-клиентом

В конце статьи даже написано про мою проблему:
Чтобы этого избежать, не выполняя назначение маршрута по умолчанию через туннель к серверу, можно настроить статическую маршрутизацию, если известны IP-адреса хостов, с которых происходят обращения в сеть клиента, для них нужно создать маршруты через интерфейс туннеля PPTP.

По моему надо два проброса порта: Один через L2TP+IPSec туннель, второй через входящий интерфейс. Если не поможет можно ещё scr-nat/masquarade сделать к web-серверу

Не совсем понял, что значит "два проброса порта" через два интерфейса.
НО masquarade действительно помог!

Я сделал на роутере А
И доступ извне заработал!

Большое спасибо за помощь, боролся с этой задачей очень долго.

Вам лучше <l2tp-vpn> или забиндить или убрать вообще...

Т.е если туннель разорвётся по какой-либо причине, то при следующем коннекте в правило маскарадинга значение <l2tp-vpn> уже не подставится и работать не будет?

Убрал <l2tp-vpn>, тоже работатет.

Забиндить - это имеется ввиду написать в маскарадинге IP адрес <l2tp-vpn> туннеля 192.168.112.9 ?
у меня это адреса А 192.168.112.9 и Б 192.168.112.10
Но в правило маскарадинга нельзя задать IP адрес, можно выбрать только интерфейс из списка (ether1, l2tp-vpn и т.д.)

Создать для входящего интерфейса привязку: