Olá!
Creio que estejam os equipamentos locais na eth2, correto?
Então o roteamento será:
# Fazer com que cada pacote que sai por eth1 (VPN) tenho o IP do roteador na eth1
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
# Fazer com que cada pacote que sai por etho (Velox) tenho o IP do roteador na eth0
iptables -t nat -A POSTROUTING -o etho -j MASQUERADE
# Rotear pacotes para a rede da VPN para eth1, deve-se conhecer a(s) rede(s), uma entrada para cada uma
route add -net <ip_da_rede_1_atrás_vpn>/<máscara> gw <gateway_da_vpn> dev eth1
route add -net <ip_da_rede_2_atrás_vpn>/<máscara> gw <gateway_da_vpn> dev eth1
route add -net <ip_da_rede_n_atrás_vpn>/<máscara> gw <gateway_da_vpn> dev eth1
# Tirar roteamento padrão para eth1 (VPN), pode dar erro, mas ignore
route del default gw <gateway_da_vpn> dev eth1
# Colocar roteamento padráo para eth0 (Velox), pode dar erro, mas ignore
route add default gw <gateway_da_velox> dev eth0
Se não conhecer as redes, apenas o domínio
intranet.br, deve-se usar "iptables -t mangle -m string --string
intranet.br -j MARK --set-mark 1" e então iproute2, criando as devidas tabelas e "ip rule add fwmark 1 table VPN", mas veja se atende o acima. Ainda assim se for conexão criptografada, https por exemplo, o "string" do iptables não vai ajudar muito, então vai precisar duma mãozinha do DNS.