Маскарад на этом ppp интерфейсе есть?
И, заодно, роуты какие в него смотрят глядите.
Я к тому, что этот запрос может быть транзитным.
маскарад деактивирован (ну и когда активен был видно что по этому правилу ни одного пакета не пролетело ). Транзитным то-есть инициирован не микротиком? Роуты все задизейбил, оставил только деф роут интернетовский, то-есть в него никакие роуты не смотрят, ну понятное дело, кроме автоматически созданом между ip vpn коннекта.