IOS 15.0

int fa4.10
ip addr 1.1.1.254 255.255.255.0
ip policy route-map test

route-map test permit 10
match ip address 10
set ip next-hop 1.1.1.250

next-hop может быть доступен через тот же интерфейс из которого приходят пакетики? Проверил вроде работает, но не все.

А если так (собственно бадаюсь именно с этим вариантом):
int fa4.10
ip vrf forw VRF1
ip addr 1.1.1.254 255.255.255.0
ip policy route-map test

route-map test permit 10
match ip address 10
set ip next-hop 1.1.1.250 <<< -- или здесь нужны вариации set ip vrf XXX next-hop ?

Есть 2 881, R1, R2 в одном сегменте 1.1.1.0/24, на каждой канал в Инет (NAT). Есть сеточка которую пускаем в инет 2.2.2.0/24. Как обычно нужно часть хостов выпустить через R1, часть через R2. На R1, R2 NAT. На обоих роутерах VRF-lite. GW для LAN 2.2.2.254, на нем default 1.1.1.254.

R1:
int fa4.10
desc *** to LAN ***
ip vrf forw VRF1
ip addr 1.1.1.251 255.255.255.0
standby 1 ip 1.1.1.254
ip nat inside

int fa4.123
desc *** Internet ***
ip vrf forw VRF1
ip addr 172.1.1.1 255.255.255.0
ip nat outside

ip ro vrf VRF1 0.0.0.0 0.0.0.0 172.1.1.254
ip ro vrf VRF1 2.2.2.0 0.0.0.255 1.1.1.250

R2 (HSRP active):
int fa4.10
desc *** to LAN ***
ip vrf forw VRF1
ip addr 1.1.1.252 255.255.255.0
standby 1 ip 1.1.1.254
ip nat enable
ip policy route-map test

int fa4.123
desc *** Internet ***
ip vrf forw VRF1
ip addr 172.1.1.2 255.255.255.0

ip ro vrf VRF1 0.0.0.0 0.0.0.0 172.1.1.254
ip ro vrf VRF1 2.2.2.0 0.0.0.255 1.1.1.250

route-map test permit 10
match ip address HOST1
set ip next-hop 1.1.1.251

ip access-li ext HOST1
permit icmp host 2.2.2.111 any
permit tcp host 2.2.2.111 any

ip access-li ext nat-from-lan
permit 2.2.2.0 0.0.0.255 any

ip nat source list nat-from-lan pool POOL1 vrf VRF1 overload

Вот в такой конфигурации (схематично, подробности при необходимости) c 2.2.2.111:
1) SSH на хост А в мир, на А наблюдаю коннект с R1, HTTP не работает пакетики вроде бегают но ... (бегло tcpdump, вроде ретрансмиты). Трасса с 2.2.2.111 2, 3 хоп - 1.1.1.252 1.1.1.251.