[kryo]

Спасибо, проблема решена, NAT не ловит внутренние адреса на внешнем интерфейсе,
потому что на момент фильтрации они уже транслированы во внешние.
Перестроил правила на внутреннем интерфейсе.
mar да, keep state рулит.