Dependendo o que seu cliente quer acessar, dá para redirecionar as portas para o IP privado dele, sem colocar um IP válido para o mesmo.

Não sei como criar as regras no MK (sou iniciante nele...), mas, se seu cliente que usar o VNC, redireciona a porta 5800 e 5900 para o IP interno dele. Se ele for acessar o Circuito Fechado de TV, por exemplo, basta descobrir qual (ou quais) portas o programa referido utiliza e redirecionar no MK a(s) portas para o tal IP.

Só que, se um outro cliente de sua rede precisar usar a mesma porta, aí não tem como...