pfSense: невозможно настроить 1: 1 NAT для удаленного IPSec

Мне сложно понять, как настроить NAT 1: 1 между моей локальной LAN и удаленной подсетью, подключенной через IPSec.

У меня есть свежая установка pfSense-2.4.5p1 с общедоступным IPv4 в WAN и 192.168.10.1/24 в моей LAN.

У меня также есть IPSec IKEv2, установленный с удаленным сайтом с Phase2, настроенным между «Локальная сеть = подсеть LAN» и «Удаленная сеть = 192.168.20.0/24».

Из оболочки SSH pfSense я могу успешно пропинговать удаленный хост с помощью «ping -S 192.168.10.1 192.168.20.123». Все идет нормально.

Теперь мне нужно добиться этого:

• когда хост в моей локальной сети отправляет пакеты на 192.168.99.123, он должен быть преобразован через NAT в пункт назначения 192.168.20.123 и отправлен через IPSec
• когда удаленный хост 192.168.20.123 отправляет пакеты на хост в моей локальной сети, он будет преобразован через NAT с исходным ip 192.168.99.123 и отправлен в мою локальную сеть

В основном я хочу, чтобы удаленная подсеть 192.168.20.xx отображалась как 192.168.99.xx в моей локальной сети. Насколько мне известно, это невозможно с «трансляцией NAT / BINAT» в конфигурации IPSec Phase2, поэтому я безуспешно пробовал различные комбинации в Firewall> NAT> 1: 1.

Как я мог достичь того, что описал выше? Любая помощь будет оценена.

Оффтопическое примечание: если кто-то, читающий это, также находится на форуме Netgate pfSense, мне не удалось разместить там этот вопрос или ответить на существующую ветку, потому что все, что я пишу, помечается их фильтром Akismet как спам.