Есть сеть 192.168.168.0/24. Адреса раздает микротик (192.168.168.1), он же шлюз. Встала необходимость логировать сеть, на микротике созданы правила:
ip firewall nat add chain=dstnat action=accept protocol=tcp src-address-list=192.168.168.254 dst-port=80
ip firewall nat add chain=dstnat action=dst-nat protocol=tcp src-address-list=clients dst-port=80 to-addresses=192.168.168.254 to-ports=3128

Где 192.168.168.254 - адрес сквида
clients - клиентская сеть.

Также на микротике создан маршрут:
/ip route
add check-gateway=ping distance=1 gateway=192.168.168.254 routing-mark=web

Есть мангл:
/ip firewall mangle add action=mark-routing chain=prerouting comment="proxy" dst-port=80 new-routing-mark=web protocol=tcp src-address=!192.168.168.254

На машинке со сквидом (он транспарент) есть правила в rc.local
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 192.168.168.254:3128
route add -net 192.168.168.0 netmask 255.255.255.0 gw 192.168.168.1 dev eth0

В результате в логах сквида адрес только микротика (192.168.168.1). Подскажите где косячу, люди добрые.