Помогите с 1:1 NAT или Netmap.

Ты почти всё сделал правильно, но, кажется, тебе стоит ещё немного поработать с документацией. Вот проблемы, которые сразу бросаются в глаза: твоё общее правило NAT (№26) стоит перед более конкретным правилом 1:1. В брандмауэрах нужно двигаться от самых конкретных правил к самым общим. Даже после того, как ты перенес общее правило NAT вниз списка, всё равно есть некоторые неточности. Список src-address-list ожидает название списка адресов, а не сам адрес. Чтобы указать адрес (или подсеть), нужно использовать параметр src-address. 2b) Собственно, src-address указывать и не обязательно… это последнее правило в списке, так что исключение IP-адреса твоего mail сервера излишне, оно никогда до него не дойдёт. Если у тебя нет других подсетей в сети, из которых нужно исключить NAT, то это избыточно. Использование masquerade не самое удачное решение, когда на интерфейсе несколько IP-адресов. Используй src-nat и укажи адрес, который хочешь использовать, с помощью параметра to-address. Два правила для mail сервера выглядят неплохо, хотя если ты не указываешь конкретные сервисы, то протокол тоже можно не указывать. Используя 1.2.3.4 и 1.2.3.5 в качестве твоих внешних адресов, это должно сработать: /ip firewall nat add chain=srcnat action=src-nat src-address=10.10.4.7 to-address=1.2.3.4 out-interface=WAN add chain=dstnat action=dst-nat dst-address=1.2.3.4 to-address=10.10.4.7 in-interface=WAN add chain=srcnat action=src-nat to-address=1.2.3.5 out-interface=WAN