FreeBSD - port mapping и ipfw

[farlow]

с ужасом только что обнаружил, что три правила в фаерволе которые разрешают пакеты с 3 ip по порту 3389 и 1 правило которое запрещает движение по анному порту не работаеют

в natd.conf прописан редирект по данному порту на внутреннюю машину



правила



ipfw add 400 allow tcp from ${someip} to me dst-port 3389

...

ipfw add 403 deny tcp from any to me dst-port 3389





что не правильно, или фаерволл пропускает все что замапено? как исправить брешь?