Pardon, korektně fungující NAT by neměl routovat ale jen NATovat. Pakliže někdo nastaví NAT jako router, je to hloupost a potřebuje firewall.
Jenomže řeč je o routerech, na kterých je také nastaven NAT. A routery routují.
„Jenom NATovat“ je nesmysl. NAT překládá adresy proto, aby paket se změněnou adresou někam dál poslal. Takže musí buď routovat nebo se musí chovat jako bridge. A NAT na bridge by byl z hlediska „zabezpečení“ ještě daleko horší, protože by do vnitřní sítě posílal úplně všechno, co by dostal na vnějším rozhraní.