Запросы можно передать куда угодно, надо только понять, куда. Вы локальным хостом называете не тот роутер, который поднимает VPN? Просто chain=output - это трафик, сгенерированный самим роутером, а его клиентов надо искать в chain=forward.
А про main я спросил из-за особенности обработки локального (сгенерированного роутером) трафика в RouterOS: сначала производится просмотр таблицы main, потом трафик попадает в mangle output, и если там была навешена routing mark - происходит просмотр уже новой таблицы маршрутизации. Если в main подходящего маршрута не оказалось - процесс прерывается с ошибкой.