Вопрос, который давно уже поднимался, но лично для меня встал острее с появлением туннелей. На текущий момент единственный вариант не натировать сеть через туннель - отключить ip nat полностью, воспользовавшись ip static, однако он требует наличия статического IP - https://zyxel.ru/kb/3252/ По вполне очевидным причинам во многих случаях этот вариант совсем не приемлем (разве что играться со скриптами в entware). Варианты реализации с точки зрения пользователя, на мой взгляд: