NAT 1:1 duvida

Bom Tarde, pessoal do underlinux
Estou com um problema aqui na minha rede.

Estou fazendo um nat 1:1 da seguinte maneira

tenho um range de ip 201.xxx.xxx.184/29 e ip de Rede Interna 10.0.0.0/16
meus clientes navegam pelo ip 201.xxx.xxx.187/29

vou em ip adress adciono o ip 201.xxx.xxx.186/29

depois vou em

ip firewall nat e coloco dstnat>>>dst.address 201.xxx.xxx.186>>>> action>>>>netmap>>>>10.0.1.151;

depois ip firewall scrnat>>>src.address>>10.0.1.151>>>>action>>>netmap>>>201.xxx.xxx.186;

Funciona normalmente, libera todas as portas para o cliente tudo normal, so que eu percebi de vez em quando os outros cliente navega com o ip final 186 que era para ser so desse cliente, teria como eu setar para o restante da rede sair so pelo final 187?

Espero que nao esteja ficado muito confuso a explicação.

Muito Obrigado.

Caramba essa nunca vi,mas eu fiz a seguinte regra e fico ok.Mas p lhe ser franco não observei a saída pode-se tentar ai.
NAT 1:1 Para redirecionamento público/privado e seu retorno, tens duas formas de fazer, por dst-nat e src-nat ou utilizando netmap conforme os exemplos:

Adicione o ip público e mascara a interface pública do mikrotik (entrada do link).
Ex: 200.xxx.xxx.10/28 na interface 'EthLinkD'

Na tabela NAT adicione uma regra cuja chain dst-nat redirecione o que chegar para o ip público 200.xxx.xxx.10 utilizando também a action dst-nat para o ip privado, identificando a interface de entrada como sendo o seu link.

action=dst-nat chain=dstnat comment="PC.DSTR" disabled=no dst-address=186.x.x.27 in-interface=EthLinkD to-addresses=10.xx.xx.10

Na sequencia faça o oposto, mascarando as requisições que chegarem do ip privado 10.xx.xx.10 para sairem pelo ip público 186.x.x.27 identificando a interface de saída como sendo o link.

action=src-nat chain=srcnat comment="PC.MSQR" disabled=no out-interface=EthLinkD src-address=10.xx.xx.10 to-addresses=186.x.x.27

O NAT 1:1 esta funcionando tudo certo, as portas estão todas direcionadas para o meu cliente e ele so sai pelo ip 186.
o problema eu acho que é por setar mais 1 ip na mesma interface de saida ficando com 2 ip validos, dai o restante dos clientes ora sai pelo ip 201.xxx.xxx.187 ora pelo 201.xxx.xxx.186.
tem algum lugar se de para setar que os clientes que vem do nat principal sair somente pelo ip final 187?