Разделение входящего исходящего трафика (ipsec)

[oxd]

Такая ситуация: имеется на nat-роутере два интерфейса - rl1 (езернет) и gif0 (тунель ipsec). Требуется весь исходящий трафик напрвить в rl1, а весь входящий брать из gif0. Проблема в том, что не могу настроить правильно нат. То есть пакеты улетают с роутера и инет и ответы прилетают на роутер, но не проходят через нат к хостам. С роутера все работает ок. Каким образом можно завернуть пакеты из gif0 обратно в нат?

[oxd]

Добавлю: за натом находится vpn (micro$oft-овый на pptpd) и клиенты получают доступ к серверу через нешифрованый тунель, поэтому возможны проблемы с mtu.