И до, и после пинга arp -an выдаёт на серверах только адреса транзитной сети, т.е. 10.х.х.х (собственно, так и должно быть...)
Для наглядности приведу саму схему сети:

=== инет ===[NAT]-транзитная сеть 10.х.х.х-[роутер сети 192]<===[юзерские сети]

- правила ipf разведены на [NAT];
- на [роутер сети 192] никаких правил нет вообще;

Опубликовать правила пока не имею возможности, но я думаю дело совсем не в них. Вернее, если и в них, то это можно как-то обойти...