ipsec vs iptables vs srcnat

[DrWiza]

Ahoj, řeším takový menší problém. A díky tomu že FW na linuxu jsem už neřešil pěknou řádku let, poprosil bych o pomoc.
Mám debian který slouží jako VPN brána tvořená IPsec (nedokáži ovlivnit - musí být takto).
IPsec je navázán jen na jednu veřejnou IP (podmíněno poskytovatelem, my jsme jen jako klient, nedokáži ovlivnit).
Pokud chci aby se x PC v lokální síti dostalo přes VPNku na druhou stranu, logicky nastavím SNAT.
Jenže SNAT je jen na postrouting což ale já potřebuji změnit IP už na preroutingu - aby ipsec trap paket zachytil a poslal jej do VPNky.

nějaké rady?