Отмечать трафик пользователями – возможно ли это?

Хочу отметить трафик пользователей по IP-адресу. Моя ситуация такова: у меня есть один интерфейс с публичным IP, а есть другой с внутренними IP-адресами. Между ними Mikrotik с включенным NAT. Когда я настроил 2 mangle: source addr: IP пользователя, dest addr: "net" и source addr: “net”, dest addt: IP пользователя, только первый из них показывал какой-либо трафик. Но трафик был с torch в обоих направлениях. Это вполне логично, если пакет должен появиться как входящий на одном из интерфейсов, чтобы его можно было отметить в mangle – в данном случае этого не происходит из-за NAT. (ну, появляется, но до NATting, так что у пакета другой IP-адрес назначения – публичный IP-адрес). Есть ли какой-нибудь обходной путь для решения этой проблемы? (проще, чем настраивать еще один сервер только для NAT)