Проброс порта через два микротика в одной лан

[G1ueck]

День добрый, уважаемые форумчане.

Может кто подскажет, есть удаленный VPS, микротик в качестве шлюза с DHCP и еще один микрот внутри локалки настроенный в качестве свитча(объединены все порты в один бридж).
VPS имеет адрес(допустим) 222.222.133.161
шлюз - 10.10.10.10(с белым ip 153.153.36.198)
свитч - 10.10.10.200

Нужно по rdp цепляться к VPS по ip свитча
На свитче делаю правило
ip firewall nat add chain=dstnat protocol=tcp dst-port=3389 in-interface=office action=dst-nat to-addresses=222.222.133.161 to-ports=3389

пакеты естественно уходят, но вот где и каким правилом их ловить обратно не понятно, на шлюзе masquerade на WAN порту

Можно ли эти петли настроить?
Я понимаю что шлюз напрямую отдает пакеты с внешнего сервера внутрь локали мимо свитча, а комп ждет ответа от 10.10.10.200(свитча).

ЗЫ: Все ip адреса явились в бреду, совпадения с реальными людьми и событиями(ip адресами) случайны

[Chupaka]

Добрый.

https://wiki.mikrotik.com/wiki/Hairpin_NAT

[G1ueck]

Это я на русском читал )
понадобилось два правила на свитче:
/ip firewall nat add chain=srcnat dst-address=222.222.133.161 action=masquerade
/ip firewall nat add chain=dstnat protocol=tcp dst-port=3389 in-interface=office action=dst-nat to-addresses=222.222.133.161 to-ports=3389

помог только маскарад