Проблема с роутером VPN, NAT

Debian, eth0 – к провайдеру, eth1 – в локалку. Вся локалка ходила через NAT, но сейчас нужно сделать, чтобы на часть адресов из локалки попадали через vpn. VPN поднят, работает. Маршруты прописать - не проблема. Надо, чтоб через РРР локалка ходила через NAT. При каждом подключении у РРРХ ip разный адрес, и при обрыве, и последующем переподключении этот Х разный. Т.е. руками правила (с ip и РРРХ) прописывать каждый раз после переподключения – нереально. Натолкните, пожалуйста, на нужную мысль, чтоб решить этот вопрос?