Элтекс

Добрый!
Есть такая схема: Провайдер(pppoe)->ESR-100->HW(криптошлюз)->локальная сеть

PPPoE туннель поднят на ESR и смотрит в сторону HW сеткой вида 192.168.2.0/24
esr - 192.168.2.1
hw - 192.168.2.2
HW отдаёт в локальную сеть адресе вида 192.168.0.0/24

Так вот, до установки ESR, был простой роутер от tp-link на котором проброс портов был настроен таким образом:

Статичный маршрут был такого вида:
dst-addr 192.168.0.1
mask 255.255.255.0
gw 192.168.2.2

Сейчас на ESR:
PPPoE - untrusted

С таким правилом не работает:
security zone-pair untrusted trusted
rule 1
action permit
match protocol tcp
match source-address any
match source-port ssh
match destination-address SERVER_IP (192.168.2.2)
match destination-port ssh
enable

Есть идеи, как пробросить порты в сетку 192.168.0.0?

А почему не написали как был сделан проброс портов ?

Там достаточно просто всё было, статический маршрут + стандартный проброс через веб-морду с указанием private ip 192.168.2.2

Вы только разрешили трафик в firewall
Проброс портов настраивается через DNAT
https://docs.eltex-co.ru/pages/viewpage.action?pageId=107481599#id-%D0%A3%D0%BF%D1%80%D0%B0%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D0%B5%D1%81%D0%B5%D1%80%D0%B2%D0%B8%D1%81%D0%B0%D0%BC%D0%B8-%D0%9A%D0%BE%D0%BD%D1%84%D0%B8%D0%B3%D1%83%D1%80%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5DestinationNAT

А адрес у pppoe статика ?