Не срабатывает INPUT правило в фаерволе

[kif]

Здрасьте
Не могу понять почему не срабатывает вот это правило в фаерволе

Код: Выделить всё

add action=add-src-to-address-list address-list="Honeypot Hacker" \
    address-list-timeout=14w2d chain=input comment="block honeypot ssh rdp" \
    connection-state=new dst-port=22,3389,5060,4050 in-interface=ether1 \
    protocol=tcp src-address=!10.0.0.0/24

Вернее оно работает но не на порт 4050, который у меня в нате прописан (переброс с внешнийip:4050 на локальный:3389)
Попробовал ради теста продублировать первое правило изменив цепочку на FORWARD, и оно начало работать.
Тоесть мне нужно и input и forward деражать правила, или я делаю что-то не так?
И почему в моем случае 4050 порт проходит мимо INPUT правила, нипанятнааа

[xvo]

Цепочка dstnat обрабатывается до цепочек input и forward firewall'а.
Так что одним правилом закрыть и то, что идет на маршрутизатор, и то, что идет через него, не получится.
Если же вы этим правилом хотите ловить только то, что проходит через маршрутизатор после dstnat - достаточно оставить в цепочке forward.

[kif]

Цепочка dstnat обрабатывается до цепочек input и forward firewall'а.

Хмм, не знал (хотя в процессе разбирательства начали посещать такие мысли), тогда всё встало на свои места, спасибо