За что вы любите Keenetic?

Насчет того, что "выполняет NAT для клиентов из локальной сети" - это настраивается командой ip nat Home, которая дословно означает: "делайте SNAT для любого трафика, выходящего отсюда". Это является настройкой по-умолчанию, поскольку в варианте "из коробки" типичный пользователь ожидает именно такого поведения.

Нет, не совсем так. И это боль. Не "делайте SNAT для любого трафика, выходящего отсюда" - а "делайте SNAT для любого трафика исходящего из подсети заданной на интерфейсе."

То есть для сети которая лежит где-то дальше за данным интерфейсом (и в эту сеть есть маршрут через этот интерфейс) - SNAT не будет.