O que eu disse que não da pra rastrear CGNAT em cima de CGNAT. Pois não é armazenado a porta de origem original. Então a porta conhecida do primeiro e perdida no segundo CGNAT.
A diferença é o a sequência de IPs.
No vertical o IP final 1 e final 2 saem com o mesmo IP um range de portas acima.
No horizontal o final 1 privado sai no final 1 público e o final 2 privado sai no final 2 público. E todos da mesma rede usam o mesmo range de portas.
Recomendo vertical só pra quem tem muito poucos IPs.