>[оверквотинг удален]
>> nat 1 config if ng8 same_ports reset reverse
>> nat 1 ip from 10.8.0.103 to 194.87.0.50 via ng8
>> nat 1 ip from 194.87.0.50 to any (на примере, на один внешний
>> адрес)
>> Пакеты маскирутся, уходят на внешний адрес. Снаружи возвращаются на брандмауэр и дальше
>> проблема. Пакеты не демаскируются.
>> Подскажите, в чем может быть проблема?
> AFAIK, nat учитывает направление движения пакета. по признаку "входящий/исходящий" по
> отношению к рутеру.
> У вас получается, что он попадает в нат оба раза как входящий.

nat 1 ip from 194.87.0.50 to any (на примере, на один внешний адрес)?

что такое один внешний интерфейс?