NAT на два разных сервера на одном порту через имя хоста с Mikrotik RB2011

У меня есть маршрутизатор Mikrotik RB2011, работающий под управлением RouterOS, который подключается к Интернету через статический IP-адрес. В моей локальной сети у меня есть два разных сервера, один с IP 192.168.89.11, а другой с 192.168.89.12.

Мой DNS (на cloudflare) разрешает myfirstserver.com и mysecondserver.com на статический IP-адрес моего маршрутизатора.

Теперь я хочу как-то разделить трафик, чтобы весь трафик для myfirstserver.com шел на 192.168.89.11, а трафик для mysecondserver.com - на 192.168.89.12 (и оба на порт 80. Я знаю, что могу просто изменить порты но если это общедоступные серверы, ни один пользователь не установит порт, отличный от 80)

То, что я пробовал до сих пор, - это как-то пометить пакеты через mangle, а затем использовать эту метку в NAT для правильной пересылки dst-nat.

Я пытаюсь маркировать пакеты с помощью регулярного выражения содержимого или протокола уровня 7 (они работают правильно, если действие записано в журнал. Я вижу, что они правильно регистрируются).

Дело в том, что после того, как я их помечаю, кажется, что NAT просто игнорирует их и перенаправляет соединение на сервер, который принимает немаркированные пакеты.

Думаю, я как-то перепутал порядок фильтрации и цепочки.

Может ли кто-нибудь дать некоторые указатели / помощь о том, как это сделать?

Спасибо!

РЕДАКТИРОВАТЬ: Мой вопрос очень конкретный, о маркировке пакетов в RouterOS на маршрутизаторе Mikrotik и проверке отметки в NAT. Дело не в том, нужен ли мне обратный прокси или что-то еще. Спасибо

РЕДАКТИРОВАТЬ 2: @ Cha0s спросил мой /ip firewall export так вот оно:

/ip firewall layer7-protocol
add name=haf1a regexp=haf1a

/ip firewall address-list
add address=192.168.89.0/24 list=local
add address=192.168.88.0/24 list=local
add address=www.xxx.yyy.zzz list=local
add address=192.168.87.0/24 list=local

/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=established
add chain=input comment="default configuration" connection-state=related
add action=drop chain=virus comment="Drop 80 DoS attack" src-address-list=spammer
add action=add-src-to-address-list address-list=spammer address-list-timeout=1d chain=input connection-limit=10,32 dst-address-list=!local dst-port=53 protocol=udp
add action=drop chain=input dst-port=53 protocol=udp src-address-list=!local
add action=add-src-to-address-list address-list=spammer address-list-timeout=1d chain=input connection-limit=30,32 protocol=tcp
/ip firewall mangle
add action=change-mss chain=forward new-mss=1422 out-interface=all-ppp protocol=tcp tcp-flags=syn tcp-mss=1423-65535

/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" out-interface=ether1-gateway
add action=masquerade chain=srcnat out-interface=pppoe-out1
add action=dst-nat chain=dstnat comment="No HAF mark" dst-address=www.xxx.yyy.zzz dst-port=80 packet-mark=!haf1 port="" protocol=tcp src-port="" to-addresses=192.168.89.41 to-ports=80
add action=dst-nat chain=dstnat comment="HAF mark" dst-address=www.xxx.yyy.zzz dst-port=80 packet-mark=haf1 port="" protocol=tcp src-port="" to-addresses=192.168.89.31 to-ports=80

где www.xxx.yyy.zzz мой внешний ip (статический) и 192.168.89.31 и 192.168.89.41 мои два сервера в моей локальной сети

Моя цель - перенаправить любые соединения с haf1a в них (например, haf1a.lala.com) на соответствующий сервер (192.168.89.31)