Есть такая схема, адреса подсетей за роутерами прописаны в файлвол адрес листах (есть причина сделать так), в мангле трафик размещается (prerouting->mark routing) и в роутинге по этой метке заворачивается в vpn канал. На всех роутерах в NAT включен маскарад в wan и в vpn. И в этой схеме все работает почти прекрасно - пользователи за роутерами GW-2 и GW-4 (GW-1 пока не трогаю чтобы не усложнять) видят друг-друга, видят роутеры GW-2, GW-3, GW-4, трафик наружу идет через соответствующие роутеры корректно. Но маскарад доставляет определенную попа-боль, т.к. не виден ip адрес клиента.
Если выключить маскарад в VPN на GW-2 и GW-4 то вроде как ничего не меняется, все выглядит рабочим, тапки в меня не летят.
Если выключить маскарад в VPN на GW-3, то клиенты из разных подсетей сохраняют доступ друг к другу, но теряется доступ к роутеру на противоположной стороне (т.е. пользователи GW-2 видят GW-2 и GW-3, но не видят GW-4, соотвественно с GW-4 недоступен GW-2). И интернет-траффик наружу (который должен был пройти через sstp и выйти наружу на другой стороне) не идёт. Подскажите в какую сторону копать, чтобы и рыбу съесть и реальные адреса клиентов видеть.