реально помогло, заработало

13 лет, 13 лет... :)

dst-nat просто меняет в заголовке пакете адрес в заданном месте - никаких вычислений(дополнительных)

а как теперь без дропов? или нужно какое-то другое правило добавить исключающее проброс из дропа?

т.е. мой закрытый пинг на моем тике будет мешать мту?)

нужно правильно настроить дропы

чего не мешает сейчас?

если ты не видишь проблемы, это не значит что ее нет

он будет мешать pmtud, если ты в курсе его существования, конечно же)

в drop forward сделайте !dst-nat

PMTU discovery – технология определения PMTU разработанная для уменьшения нагрузки на маршрутизаторы. Описана в RFC 1191 в 1988 году. Суть технологии заключается в том, что при соединении двух хостов устанавливается параметр DF (don’t fragment, не фрагментировать), который запрещает фрагментацию пакетов. Это приводит к тому, что узел, значение MTU которого меньше размера пакета, отклоняет передачу пакета и отправляет сообщение ICMP типа Destination is unreachable (Хост недоступен). К сообщению об ошибке прилагается значение MTU узла. Хост-отправитель уменьшает размер пакета и отсылает его заново. Такая операция происходит до тех пор, пока пакет не будет достаточно мал, чтобы дойти до хоста-получателя без фрагментации.

я с такой дичью не сталкивался

Это я знаю. Просто смотрю все на netmap ругаются что нельзя использовать.. Стали интересно

Если бы всё было так просто :). https://wiki.mikrotik.com/wiki/Manual:CRS1xx/2xx_series_switches#Cloud_Router_Switch_models CRS125 не поддерживает ACL (message failure: policy rules are not supported on this switch chip.), а через /interface bridge filter не получается настроить. Может ещё какие есть варианты?

за то потом заблокируют icmp и думают "че же сеть так херово работает..."

А где тогда целесообразно использовать netmap?

через бр-фильтр это настроить можно, но весь траффик пойдёт через цпу. так что увы.