mikrotik - dst-nat na site2site l2tp tunel

Torej imam težavico.
Imam glavno lokacijo kjer je l2tp server na mikrotik routerju.
Na remote lokaciji ni interneta zato je nastavljen 951UI-2ND HAP in v njega vtaknjen 3g usb ključek s sim kartico kjer dela ppp. Narejen imam tudi l2tp client ki kliče na glavno lokacijo tako da je narejen site2site l2tp tunel.
Iz remote lokacije lahko vse pingam in dostopam, iz glavne lokacije enako do remote. To vse lepo dela.
Rad bi sedaj naredil en NAT rule, da ko iz interneta odprem v browserju http://javni.ip.glavna.lokacija:8000 mi odpre http stran na remote lokaciji ki je vezana preko l2tp tunela.

še en opis kako naj bi potekalo
browser-> http://x.x.x.x:8000 -> NAT rule na 10.11.1.2 port 80 (ip remote http mašine) -> l2tp tunel -> ip apache 10.11.1.2 (moja spletna stran za prikaz od zunaj).

Sedaj imam narejen NAT rule, chain dst-nat, dst-address=mojjavniip, protocop tcp, dst-port=8000, action=dst-nat, to-address=10.11.1.2, to-port=80
ko poskušam od zunaj odpret url, vidim na rulu da je prišel 1 paket, samo reply ne gre skozi ... naredi timeout. A se komu sanja kaj bi moral še uredit?


Zakaj ne grem direkt na javni ip remote mikrotika se bo kdo vprašal...
Ker mobitel in simobil uporabljata cgn nat, se pač ne moreš povezat od zunaj na javni ip 3g.
Pa ker bo več ljudi dostopalo do tega http, ne želim dodajat novih vpn userjev samo za ogled tega http.

konfiguracija je točno taka kot v manualu:
http://wiki.mikrotik.com/wiki/Manual:In...

glej spodaj primer site-to-site
jst imam pač 10.10.10.x pri meni kjer je server, in 10.11.1.x na remote lokaciji

anyone kakšna ideja??