port mapping и ipfw
 

с ужасом только что обнаружил, что три правила в фаерволе которые разрешают пакеты с 3 ip по порту 3389 и 1 правило которое запрещает движение по анному порту не работаеют
в natd.conf прописан редирект по данному порту на внутреннюю машину

правила

ipfw add 400 allow tcp from ${someip} to me dst-port 3389
...
ipfw add 403 deny tcp from any to me dst-port 3389


что не правильно, или фаерволл пропускает все что замапено? как исправить брешь?