2 недели траха с роутером не прошли даром... я его таки сделал!
Самое смешное, что в инете я нашел только один конфиг под мои задачи, и то извращенный... как будто архисложная задача...
Всего лишь раздать внешнюю локалку внутренней, и при vpn-коннекте допольнительно раздать инет. Помог товарищ с linuxforum.ru, подсказал формат конфига на pf, все остальное я сделал сам.