Как удалось недавно выяснить Netwatch, когда рожает проверочный пакет, ставит ему Source address просто посмотрев в таблицу MAIN, и ему глубоко наплевать что этот пакет будет, в силу имеющихся RULE маршрутизироваться правилами совсем из другой таблицы. В итоге пакет улетает к провайдеру 2 с IP провайдера 1 и, в лучшем случае, если у провайдера 1 проблемы - пакет не сможет вернуться. Т.е. Netwatch Покажет падение оператора 2, даже если упал оператор 1. Куча костылей с src-nat помогла решить