Перенаправление трафика на почтовый сервер в другой подсети

[Alex2019]

Добрый день, уважаемые форумчане! Возник такой вопрос:
Филиал (192.168.2.0/24) подключен через VPN с головным офисом (192.168.0.0/24). Он, в свою очередь, по VPN к другой подсети, в которой крутится почтовый сервер (192.168.1.1). Филиал напрямую не конектится к этому серверу. На Микротике сделал IP 192.168.0.3 и создал правило NAT с перенаправлением трафика на почтовый сервер, как было описано в другой теме здесь на форуме:

Код: Выделить всё

/ip firewall nat
add chain=dstnat dst-address=192.168.0.3 protocol=tcp dst-port=25 action=dst-nat to-addresses=192.168.1.1 to-ports=25
add chain=dstnat dst-address=192.168.0.3 protocol=tcp dst-port=110 action=dst-nat to-addresses=192.168.1.1 to-ports=110

Пробовал без In.Interface и разные варианты его, но The Bat при отправке пишет или "!04.02.2020, 10:13:17: SEND - Невозможно соединиться с сервером. Подключение не установлено, т.к. конечный компьютер отверг запрос на подключение", или "!04.02.2020, 10:14:01: SEND - Невозможно соединиться с сервером. Попытка установить соединение была безуспешной, т.к. от другого компьютера за требуемое время не получен нужный отклик, или было разорвано уже установленное соединение из-за неверного отклика уже подключенного компьютера".
Подскажите, пожалуйста, что делаю не так. Для визуального представления, прикрепляю фото, как схематично выглядит подключение.

[Chupaka]

Добрый. У вас на схеме нет 192.168.0.3 Но, подозреваю, проблема в том, что ответные пакеты почтового сервера могут не идти обратно в VPN. Проверьте на той стороне (проще всего - traceroute с почтового сервера на адрес клиента (192.168.0.2?))

[Alex2019]

К сожалению, возможности подключиться к этому серверу нет. Но я подумывал, что в этом может быть причина. Почти уверен, что от туда ответ до пункта назначения дойти не может. Это значит на стороне сервера надо как-то настроить. Или у меня реализация подключения всей сети не правильна. Вот подробная схема всего. VPN на офисы у нас от Белтелекома. На местах обычные модемы БТК. А с подсетью, где почтовый сервер, через l2tp микротики соединены.

[Alex2019]

У меня и филиалы друг друга не видят) Криворуко всё настроено

[Chupaka]

Так, всё ещё не хватает информации... У роутера есть адрес из подсети почтового сервера? А то вот это облачко "VPN" загадочное, но неинформативное. К чему подключается этот роутер?

Если адрес в подсети сервера есть - можно поставить костыль в виде NAT Masquerade, тогда почтовый сервер будет видеть доступ к почте с адреса роутера, а не пользователя.

[Alex2019]

Так, всё ещё не хватает информации... У роутера есть адрес из подсети почтового сервера? А то вот это облачко "VPN" загадочное, но неинформативное. К чему подключается этот роутер?

Если адрес в подсети сервера есть - можно поставить костыль в виде NAT Masquerade, тогда почтовый сервер будет видеть доступ к почте с адреса роутера, а не пользователя.

У нашего Микротика нет адреса той подсети, где почтовый сервер. На той стороне, где почтовый сервер, свой микротик. Между ним и нашим VPN поднят. У них там своя развёрнутая сеть с подсетями. От своего головного офиса я у них всё пингую, а филиалы достучаться могут только до меня, дальше не идут. Пакеты там на месте у филмалов теряются, не знают куда идти. У них на обычных модемах маршруты эти не пропишешь, поэтому хотел по простому пути пойти и перенаправлением трафика реализовать у меня на Микротике.

[Alex2019]

Была проблема с тем, что два Микротика. И 192.168.0.2 обратно ответ не пропускал. На нём добавил маршрут до филиалов. И теперь заработало перенаправление. Решил, что 1 правило прописать проще, чем ко всем районам подключаться. Спасибо за советы.