Jeżeli na router2 przekierowałeś port to z na router1 już nie robisz nic, z urządzenia z sieci lan router1  odwołujesz się do 192.168.1.7:4025 (jeżeli taki adres ma router2 na wanie).

Przekieruj jeszcze 443 jeżeli urządzenia automatycznie przerzuca z http na https.

config defaults
    option syn_flood    1
    option input        ACCEPT
    option output        ACCEPT
    option forward        ACCEPT
    option disable_ipv6    1

config zone
    option name        lan
    list   network        'lan'
    option input        ACCEPT
    option output        ACCEPT
    option forward        ACCEPT

config zone
    option name        wan
    list   network        'wan'
    list   network        'wan6'
    option input        ACCEPT
    option output        ACCEPT
    option forward        ACCEPT   
    option masq        1
    option mtu_fix        1

config forwarding
    option src        lan
    option dest        wan

config zone
        option name             3gwan
        list   network          '3gwan'
        list   network          '3gwan6'
        option input            REJECT
        option output           ACCEPT
        option forward          REJECT
        option masq             1
        option mtu_fix          1

config forwarding
        option src              lan
        option dest             3gwan

config rule
    option name        Allow-DHCP-Renew
    option src        wan
    option proto        udp
    option dest_port    68
    option target        ACCEPT
    option family        ipv4

# Allow IPv4 ping
config rule
    option name        Allow-Ping
    option src        wan
    option proto        icmp
    option icmp_type    echo-request
    option family        ipv4
    option target        ACCEPT

config rule
    option name        Allow-IGMP
    option src        wan
    option proto        igmp
    option family        ipv4
    option target        ACCEPT

config rule
    option name        Allow-DHCPv6
    option src        wan
    option proto        udp
    option src_ip        fc00::/6
    option dest_ip        fc00::/6
    option dest_port    546
    option family        ipv6
    option target        ACCEPT

config rule
    option name        Allow-MLD
    option src        wan
    option proto        icmp
    option src_ip        fe80::/10
    list icmp_type        '130/0'
    list icmp_type        '131/0'
    list icmp_type        '132/0'
    list icmp_type        '143/0'
    option family        ipv6
    option target        ACCEPT

config rule
    option name        Allow-ICMPv6-Input
    option src        wan
    option proto    icmp
    list icmp_type        echo-request
    list icmp_type        echo-reply
    list icmp_type        destination-unreachable
    list icmp_type        packet-too-big
    list icmp_type        time-exceeded
    list icmp_type        bad-header
    list icmp_type        unknown-header-type
    list icmp_type        router-solicitation
    list icmp_type        neighbour-solicitation
    list icmp_type        router-advertisement
    list icmp_type        neighbour-advertisement
    option limit        1000/sec
    option family        ipv6
    option target        ACCEPT

# Allow essential forwarded IPv6 ICMP traffic
config rule
    option name        Allow-ICMPv6-Forward
    option src        wan
    option dest        *
    option proto        icmp
    list icmp_type        echo-request
    list icmp_type        echo-reply
    list icmp_type        destination-unreachable
    list icmp_type        packet-too-big
    list icmp_type        time-exceeded
    list icmp_type        bad-header
    list icmp_type        unknown-header-type
    option limit        1000/sec
    option family        ipv6
    option target        ACCEPT

config rule
    option name        Allow-IPSec-ESP
    option src        wan
    option dest        lan
    option proto        esp
    option target        ACCEPT

config rule
    option name        Allow-ISAKMP
    option src        wan
    option dest        lan
    option dest_port    500
    option proto        udp
    option target        ACCEPT

config rule
        option name             ssh
        option src              wan
        option target           ACCEPT
        option proto            tcp
        option dest_port        22

# include a file with users custom iptables rules
config include
    option path /etc/firewall.user

### EXAMPLE CONFIG SECTIONS
# do not allow a specific ip to access wan
#config rule
#    option src        lan
#    option src_ip    192.168.45.2
#    option dest        wan
#    option proto    tcp
#    option target    REJECT

# block a specific mac on wan
#config rule
#    option dest        wan
#    option src_mac    00:11:22:33:44:66
#    option target    REJECT

# block incoming ICMP traffic on a zone
#config rule
#    option src        lan
#    option proto    ICMP
#    option target    DROP

# port redirect port coming in on wan to lan
#config redirect
#    option src            wan
#    option src_dport    80
#    option dest            lan
#    option dest_ip        192.168.16.235
#    option dest_port    80
#    option proto        tcp

# port redirect of remapped ssh port (22001) on wan
#config redirect
#    option src        wan
#    option src_dport    22001
#    option dest        lan
#    option dest_port    22
#    option proto        tcp

### FULL CONFIG SECTIONS
#config rule
#    option src        lan
#    option src_ip    192.168.45.2
#    option src_mac    00:11:22:33:44:55
#    option src_port    80
#    option dest        wan
#    option dest_ip    194.25.2.129
#    option dest_port    120
#    option proto    tcp
#    option target    REJECT

config rule
    option name        envisa   
    option src        wan
    option src_dport    80   
    option dest        lan
    option dest_ip        192.168.11.202
    option dest_port    80
    option proto        tcp

config rule
        option name             envisa1
        option src              wan
        option src_dport        443
        option dest             lan
        option dest_ip          192.168.11.202
        option dest_port        443
        option proto            tcp

Której wersji systemu używasz?
czy host 192.168.11.202 ma ustawionego poprawnie gatewaya (192.168.11.1 ?)

Na router2 zrób

iptables -v -L | grep 192.168.11.202
iptables -v -L -t nat | grep 192.168.11.202

I pokaż co wyszło.

Musi. To zrób

/etc/init.d/firewall restart

i pokaż co wyszło.

Warning: Unable to locate ipset utility, disabling ipset support
Warning: Section @zone[1] (wan) cannot resolve device of network 'wan6'
Warning: Section @zone[2] (3gwan) cannot resolve device of network '3gwan'
Warning: Section @zone[2] (3gwan) cannot resolve device of network '3gwan6'
Warning: Option @rule[10].src_dport is unknown
Warning: Section @rule[10] (envisa) has no target specified, defaulting to REJECT
Warning: Option @rule[11].src_dport is unknown
Warning: Section @rule[11] (envisa1) has no target specified, defaulting to REJECT
Warning: Section @zone[2] (3gwan) has no device, network, subnet or extra options
* Flushing IPv4 filter table
* Flushing IPv4 nat table
* Flushing IPv4 mangle table
* Flushing conntrack table ...
* Populating IPv4 filter table
   * Zone 'lan'
   * Zone 'wan'
   * Zone '3gwan'
   * Rule 'Allow-DHCP-Renew'
   * Rule 'Allow-Ping'
   * Rule 'Allow-IGMP'
   * Rule 'Allow-IPSec-ESP'
   * Rule 'Allow-ISAKMP'
   * Rule 'ssh'
   * Rule 'envisa'
   * Rule 'envisa1'
   * Forward 'lan' -> 'wan'
   * Forward 'lan' -> '3gwan'
* Populating IPv4 nat table
   * Zone 'lan'
   * Zone 'wan'
   * Zone '3gwan'
* Populating IPv4 mangle table
   * Zone 'lan'
   * Zone 'wan'
   * Zone '3gwan'
* Set tcp_ecn to off
* Set tcp_syncookies to on
* Set tcp_window_scaling to on
* Running script '/etc/firewall.user'

Nie rule tylko redirect to ma być. Te dwie ostatnie.

Warning: Unable to locate ipset utility, disabling ipset support
Warning: Section @zone[2] (3gwan) cannot resolve device of network '3gwan'
Warning: Section @redirect[0] (envisa) has no target specified, defaulting to DNAT
Warning: Section @redirect[1] (envisa1) has no target specified, defaulting to DNAT
Warning: Section @zone[2] (3gwan) has no device, network, subnet or extra options
* Flushing IPv4 filter table
* Flushing IPv4 nat table
* Flushing IPv4 mangle table
* Flushing conntrack table ...
* Populating IPv4 filter table
   * Zone 'lan'
   * Zone 'wan'
   * Zone '3gwan'
   * Rule 'Allow-DHCP-Renew'
   * Rule 'Allow-Ping'
   * Rule 'Allow-IGMP'
   * Rule 'Allow-IPSec-ESP'
   * Rule 'Allow-ISAKMP'
   * Rule 'ssh'
   * Redirect 'envisa'
   * Redirect 'envisa1'
   * Forward 'lan' -> 'wan'
   * Forward 'lan' -> '3gwan'
* Populating IPv4 nat table
   * Zone 'lan'
   * Zone 'wan'
   * Zone '3gwan'
   * Redirect 'envisa'
   * Redirect 'envisa1'
* Populating IPv4 mangle table
   * Zone 'lan'
   * Zone 'wan'
   * Zone '3gwan'
* Set tcp_ecn to off
* Set tcp_syncookies to on
* Set tcp_window_scaling to on
* Running script '/etc/firewall.user'

Jeszcze raz

iptables -v -L | grep 192.168.11.202
iptables -v -L -t nat | grep 192.168.11.202

pusto

0     0 DNAT       tcp  --  any    any     192.168.11.0/24      192.168.1.7          tcp dpt:www /* !fw3: envisa (reflection) */ to:192.168.11.202:80
    0     0 DNAT       tcp  --  any    any     192.168.11.0/24      192.168.1.7          tcp dpt:https /* !fw3: envisa1 (reflection) */ to:192.168.11.202:443
   40  2080 DNAT       tcp  --  any    any     anywhere             anywhere             tcp dpt:www /* !fw3: envisa */ to:192.168.11.202:80
   10   520 DNAT       tcp  --  any    any     anywhere             anywhere             tcp dpt:https /* !fw3: envisa1 */ to:192.168.11.202:443

Ok, więc przekierowania działają, są pakiety i jest ruch. Upewnij się że z tym 192.168.11.202 jest wszystko ok w szczególności - że ma gatewaya ustawionego (mimo wszystko sprawdź to).

Zrób na router2

wget http://192.168.11.202 -O -

I znów pokaż co wyszło.
A później zrób to na router1:

wget http://192.168.1.107 -O -

Downloading 'http://192.168.11.202'
Connecting to 192.168.11.202:80
HTTP error 401

--2022-07-18 21:27:56--  (try: 3)  http://192.168.1.7/
Connecting to 192.168.1.7:80... connected.
HTTP request sent, awaiting response... Read error (Connection reset by peer) in headers.
Retrying.

I pokaż co wyszło z tego drugiego.

--2022-07-18 21:27:56--  (try: 3)  http://192.168.1.7/
Connecting to 192.168.1.7:80... connected.
HTTP request sent, awaiting response... Read error (Connection reset by peer) in headers.
Retrying.

Próbuje się połączyć ale druga strona zerwała połączenie... Tam nie masz żadnego ograniczenia na requesty pochodzące z tego samego źródła czy coś takiego?

Po stronie routera nie masz już nic do zrobienia - to jest standardowe przekierowanie portu, działa zawsze i nie ma co tam wymyślać. Nadal obstawiam że problem jest po stronie .202