Bueno, esto no es asi del todo: Cuando un aparato pilla un paquete, y ha de hacerle forwarding a otra red, lo enmascara con su propia IP, pero guarda el numero de paquete para saber como ha de enrutar la respuesta. En eso se basan, entre otros, el NAT y el Masquerade. Luego el destinatario, que sabe de quien es el paquete, lo devuelve por la misma via, y asi se va desencapsulando hasta que llega al emisor. Por tanto, un router no necesita conocer la ruta a una red que no sea la de sus vecinos, y si tiene necesidad de enrutar algo que no conoce, 'pregunta' a sus vecinos por la mejor ruta a seguir.
Falso, si haces NAT si, si haces routing puro y duro cada paquete no es enmascarado. Si en la configuración tienes más de un dispositivo haciendo NAT, realmente es un 'chapuza' ya que sólo tiene lógica que haga NAT el que saca el tráfico a Internet (se puede usar para otras muchas cosas, pero en tu situación no entiendo que sea el caso. Además teniendo en cuanta que son tus redes y dispones de los rangos privados con todas las ips, para que ibas a hacer NAT internamente?
Cuando tu enrutas tráfico, necesitas o bien usar protocolos de enrutamiento, para que cada router conozca por dónde ha de llegar, o bien configurar las tablas de rutas a mano. Si no usas protocolos de enrutamiento, un router que tenga que llegar más allá de las redes que él conoce (interface 1 e interface 2) es obligatorio indicarle por qué router (red/mascara/ipgw...) ha de llegar a una red que él desconoce (no esta en int1 ni en int2).
Lo de kerberos-host es sencillo, es una ruta que hace referencia a sí mismo (en vez de poner la ip pone el nombre del host, y yo desconocía que la máquina le llamara así), ya que a cada interface la máquina conoce las redes.