Одно публичное обращение на локальной сети

Да, это один из возможных способов. Однако, боюсь (хотя и не уверен!), что pref-src маршрута должен быть одним из собственных адресов роутера (т.е. он должен быть назначен на каком-то из его интерфейсов), что не относится к правилу src-nat. Поэтому вместо /ip route add dst-address=x.x.x.x pref-src=y.y.y.y вам нужно использовать /ip firewall nat add chain=srcnat action=src-nat src-address-type=local dst-address=x.x.x.x to-addresses=y.y.y.y.

Я не понимаю вопрос. В своем посте #4 @nickshore предоставил вам правила src-nat, которые выбирают определенный публичный IP в зависимости от текущей исходной подсети. Я отвечал только на ваш другой вопрос, как выбрать определенный публичный адрес в качестве источника для соединений, инициированных самим маршрутизатором. У меня есть лишь одна проблема с этим предложением: place-before=1 может быть не самым подходящим способом указать их положение, так как эти правила src-nat могли быть размещены после правила masquerade, что сделает их невидимыми для masquerade и никогда не используемыми. Если у вас все правильно настроено без пробелов (то есть если каждая подсеть LAN покрыта одним правилом src-nat), вам вообще не нужно правило masquerade. Более того, как я уже говорил, если вы разместите его не в том месте (то есть перед всеми теми, что предложены мной и @nickshore), эти правила не увидят ни одного пакета, и волшебство, о котором вы спрашиваете, не сработает. Правило masquerade изначально предназначено для интерфейсов, адреса которых назначаются динамически; тот факт, что оно работает даже на интерфейсах с статически настроенным адресом, делает его хорошим выбором для конфигурации встроенного брандмауэра, основное назначение которого — работать сразу после установки в приложениях SOHO. Но как только вы выходите за эти рамки, вам нужно подумать о роли каждого правила в стандартном брандмауэре.

Единственная причина - это та, которую я привел. Если бы у вас, например, было 29 публичных адресов, не было бы практично выводить все их на WAN-интерфейсе роутера. Это необходимо для использования этих адресов в качестве pref-src маршрута, но не требуется для использования в качестве to-адресов в правиле src-nat.

Боюсь, вам придется установить arp=proxy-arp на WAN-интерфейсе, если все публичные адреса принадлежат одной подсети, подключенной к WAN-интерфейсу. ИЗМЕНЕНИЕ: фактическая необходимая настройка — arp=local-proxy-arp — см. пост #15.

Я не думаю, что мне когда-либо приходилось это делать.

Если у меня есть /29 IP-адрес на WAN… я присваиваю их интерфейсу WAN. Указываю правильный шлюз в маршрутах. Затем использую списки адресов и src-nat, чтобы направлять разный трафик через разные IP. Я уверен, что по умолчанию для интерфейса установлено «включено arp». Я что-то упустил?