Доброго времени суток!

Помогите пожалуйста с решением проблемы
На одном адресе есть микрот (инет+ сегмент с гос порталами)
На втором стоит dfl 870 есть только инет
Адреса серые, но тк один провайдер,то между ними поднял ipsec. Из сетки dfl хожу в сетку микрота и обратно. Никаких проблем с этим.
А вот как на dfl прописать,что доступ к сегменту с гос должен быть через созданный ipsec, что-то разобраться не могу

Сетка dfl 10.10.10.0/24
Сетка микрота 192.168.10.0/24

Попасть нужно, например вот сюда 10.128.66.165

PS. на микроте маршруты до 10.128.66.165 прописаны, с машинок из его сети все ходится