и тут я не совсем уловлю что в качестве src-address= указывать, сеть до ната или после
надо раскурить пакетфлоу диаграм, там на вики примеры вроде даже есть для тоннельного ипсека. но я не поддерживаю эту штуку и рекомендую при возможности всегда использовать интерфейсы и маршрутизацию вместо политик