ok, tak jsem to udělal tak, že dstnat jde pouze z veřejné adresy na můj server a vše zevnitř ženu ven, ať se to vrátí. tohle funguje, když je tam maškaráda z local-bridge. bohužel, maškaráda mi přeloží IP adresu na 192.168.0.1, což mi sakra vadí na poštovním serveru.
/ip firewall filter
add chain=input comment=ping protocol=icmp
add chain=input comment="p\F8\EDstup z internetu" dst-port=\
80,443,25,110,8080-8099,8291 protocol=tcp
add chain=output protocol=tcp
add chain=output connection-state=established,related
add chain=input comment=telefon protocol=udp
add chain=forward disabled=yes protocol=udp
add chain=output protocol=udp
/ip firewall nat
add action=dst-nat chain=dstnat dst-address=85.92.63.94 dst-port=\
80,443,25,110,8080-8099 protocol=tcp to-addresses=192.168.0.103
add action=masquerade chain=srcnat out-interface=ether1-gateway protocol=tcp
add action=masquerade chain=srcnat out-interface=bridge-local protocol=tcp
