Сааб на этом форуме обычно советует транслятор не по интерфейсу а по внутренним адресам делать, потому я уточняю отдельно - чтоб не забыть. Внешний адрес будет на интерфейсе микротика, на самом компе будет тот же "серый внутренний". Полагаю, на микроте надо будет уже dst-nat с адреса VPN интерфейса на тот комп прокидывать чтоб он отвечал... И, видимо, src-nat в обратную сторону. А может и нет - надо попробывать, наверное зависит от задачи.