Вятский маскарадный мостовой интерфейс

Мы настроили в нашей сети шлюз Vyatta Core 6.1 с тремя интерфейсами:

• eth0 - 1.1.1.1 - публичный IP-адрес шлюза / маршрутизатора (для публичного восходящего маршрутизатора)
• eth1 - 2.2.2.1/24 - общедоступная подсеть (подключена ко второму брандмауэру 2.2.2.2)
• eth2 - 10.10.0.1/24 - частная подсеть

Наш провайдер предоставил 1.1.1.1 адрес для нас, чтобы использовать в качестве нашего шлюза. 2.2.2.1 адрес другой брандмауэр (2.2.2.2) может связываться с этим шлюзом, который затем направляет трафик через eth0 интерфейс.

Вот наша текущая конфигурация:

interfaces {
    bridge br100 {
        address 2.2.2.1/24
    }
    ethernet eth0 {
        address 1.1.1.1/30
        vif 100 {
            bridge-group {
                bridge br100
            }
        }
    }
    ethernet eth1 {
        bridge-group {
            bridge br100
        }
    }
    ethernet eth2 {
        address 10.10.0.1/24
    }
    loopback lo {
    }
}
service {
    nat {
        rule 100 {
            outbound-interface eth0
            source {
                address 10.10.0.1/24
            }
            type masquerade
        }
    }
}

При такой конфигурации все маршрутизируется, но адрес источника после маскировки 1.1.1.1, что правильно, потому что это интерфейс, к которому он привязан. Но из-за некоторых наших требований здесь нам нужно получить источник из 2.2.2.1 адрес вместо этого (какой смысл платить за общедоступную подсеть класса C, если единственный адрес, с которого мы можем послать, - это наш шлюз!?).

Я пытался связать с br100 вместо eth0, но, похоже, ничего не маршрутизируется, если я это сделаю.

Я полагаю, я просто упускаю что-то простое. Какие-нибудь мысли?