Olhe isso,

Quando faço mascaramento e redicionamento de portas para um ip fixo, ele conecta, mais no log do aplicativo mostra o ip do meu firewall interno e não do ip de quem conecta...

iptables -t nat -A PREROUTING -p tcp -s 0/0 --dport 21 -j DNAT --to IP_INTERNO

falow..