Как добавить исключение в ipsec политику?

[mikruser]

Микротик обслуживает локальную подсеть 192.168.3.0/24
необходимо создать ipsec политику, по которой весь трафик с dst.address 192.168.0.0/16 (разумеется, кроме своей локальной подсети!) будет уходить в туннель.
Вопрос - как добавить исключение для локальной подсети (192.168.3.0/24)?

[iSupport]

я бы сделал так

заводим в ip firewall adress-list

LOCAL 192.168.3.0/24

а в правиле указываем
dst-adress = 192.168.0.0/16
dst-adress-list = !LOCAL

-------
либо как вариант - зазбить 192.168.0.0/16 на несколько подсетей и убрать оттуда нужную /24

[mikruser]

Не понял, причем тут правила ip-firewall?
Я говорю про политики ipsec, а там нет "dst-adress-list" (настраиваю через Winbox)

[iSupport]

тогда сделать несколько политик

поисключав нужную подсеть