Доступ к серверу во вторичной подсети LAN-to-WAN из основной подсети в каскадной сети

Я хочу получить доступ к своему серверу в другой подсети.

Вот моя топология сети:

    Internet
        |  
        | 
       ADSL 
    x.x.x.x (external)
   D-link DSL-2730E (Router1)---------------------+
    255.255.255.0                                 |
    192.168.1.1 (internal)                        |
      DHCP active                                 |
        |                                         |
        |                                         |
        |                                         |
    LAN-to-WAN                                    |
    192.168.1.2 (external, static)          192.168.1.100 (DHCP)
    Linksys WAG120N (Router2)                 PC1 Windows 10
    255.255.255.0                        
    192.168.2.1 (internal)
      DHCP active
        |
        |                             
    192.168.2.2 (static)          
    Ubuntu Server 16.04 with node server listening on Port 3344

Дополнительная информация:

Router1 подключен к Router2 LAN-to-WAN
Оба маршрутизатора поддерживают NAT, динамическая маршрутизация отключена.
Защита брандмауэра Router2 SPI отключена, анонимный запрос WAN разблокирован
Перенаправление порта Router1 на 192.168.1.2 порт WAN 3344, порт LAN 3344 TCP
Перенаправление порта Router2 на 192.168.2.2 порт WAN 3344, порт LAN 3344 TCP
Я могу пинговать Router2 192.168.2.1 с моего ПК1
Я получаю сообщение "Превышено время ожидания запроса", когда я пингую сервер 192.168.2.2 с моего ПК1
Я настроил статический маршрут на своем Router1 с местом назначения 192.168.2.0, маской подсети 255.255.255.0, адресом следующего перехода 192.168.1.2, доступен только один интерфейс, который является интерфейсом a1 и метрикой 1.
Переадресация портов работает, и сервер отвечает, когда трафик идет из Интернета, т.е. когда я ввожу внешний IP-адрес Router1 и перенаправленный порт x.x.x.x: 3344 в браузере на ПК1, я получаю ответ в браузере. Как ни странно, когда я ввожу внешний IP-адрес Router2 192.168.1.2:3344 или внутренний IP-адрес Router2 192.168.2.1:3344 (через статический маршрут) в браузере на ПК1, и я ожидаю, что Router2 перенаправит трафик на мой server@192.168.2.2 : 3344, ни один из них не работает, в Google Chrome написано: «Этот сайт недоступен».
Вы можете спросить, почему я не использую порт LAN вместо порта WAN на моем Router2. Моя цель - полностью заблокировать доступ в Интернет для подсети 192.168.2.0/24 и разрешить доступ в Интернет для подсети 192.168.1.0/24. К серверу в подсети 192.168.2.0/24 будет подключено около 12 клиентских устройств Android, которым не разрешен доступ в Интернет, кроме сервера.
Еще одна причина, по которой я хочу использовать отдельную подсеть, заключается в том, что будет проще управлять фильтром доступа в Интернет, фильтруя весь диапазон IP-адресов (кроме сервера) в подсети через один маршрутизатор.

Вот мой результат tracert с ПК1:

Tracing route to 192.168.2.1 over a maximum of 30 hops

  1    <1 ms     1 ms     1 ms  192.168.1.1
  2     3 ms     4 ms     2 ms  192.168.2.1

Trace complete.

Tracing route to 192.168.2.2 over a maximum of 30 hops

  1    <1 ms     1 ms     2 ms  192.168.1.1
  2     *        *        2 ms  192.168.1.2
  3     *        *        *     Request timed out.
  4     *        *        *     Request timed out.
  5     *        *        *     Request timed out.
  6     *        *        *     Request timed out.
  7     *        *        *     Request timed out.
  8     *        *        *     Request timed out.
  9     *        *        *     Request timed out.
 10     *        *        *     Request timed out.
 11     *        *        *     Request timed out.
 12     *        *        *     Request timed out.
 13     *        *        *     Request timed out.
 14     *        *        *     Request timed out.
 15     *        *        *     Request timed out.
 16     *        *        *     Request timed out.
 17     *        *        *     Request timed out.
 18     *        *        *     Request timed out.
 19     *        *        *     Request timed out.
 20     *        *        *     Request timed out.
 21     *        *        *     Request timed out.
 22     *        *        *     Request timed out.
 23     *        *        *     Request timed out.
 24     *        *        *     Request timed out.
 25     *        *        *     Request timed out.
 26     *        *        *     Request timed out.
 27     *        *        *     Request timed out.
 28     *        *        *     Request timed out.
 29     *        *        *     Request timed out.
 30     *        *        *     Request timed out.

Trace complete.

Мне это не кажется проблемой маршрутизатора, где что-то пошло не так, Ubuntu или сервер node / express? Заранее спасибо.

Редактировать:

Поменял местами роутеры
Отключены NAT и переадресация портов на Router2
Перенаправление порта Router1 на 192.168.2.2 порт WAN 3344, порт LAN 3344 TCP, я все еще могу получить доступ к серверу с моего общедоступного IP-адреса: 3344, но не могу получить доступ к серверу с моего IP-адреса router1: 3344

Удалите двойной NAT. Это вызовет путаницу и сломает вещи. Особенно с потребительским оборудованием, не предназначенным для этого варианта использования.

Добавьте маршрутизатор и брандмауэр с возможностью создания виртуальных локальных сетей и нескольких подсетей на границе вашего Интернета. Брандмауэр вашей ограниченной подсети, чтобы не было Интернета. При необходимости добавьте службу DHCP и беспроводные точки доступа в ограниченную подсеть.