Problém s NATováním veřejné IP

[tichac]

Dobrý den,
Prosím o nakopnutí, případně o pomoc s řešením níže popsaného problému. Snažil jsem se podobný problém najít v historii, ale nenašel.
Řeším problém s natováním veřejné IP na privátní IP adresu routeru v síti.

Popis stavu: ze sítě za natem internet funguje, na venek se do internetu identifikuji správně, veřejka sedí.
Na WAN portu hlavního MT (hraniční router) mám dvě veřejky, jednu určenou pro síť jako takovou (yyy.yyy.yyy.yyy/26) a jako druhou veřejku mám nastavenu xxx.xxx.xxx.xxx/26 přidělenou od poskytovatele, kterou chci natovat na router ve vnitřní síti s IP adresou na wanu 10.10.133.19.

Na hraničním MT, na prvním místě v tabulce před maškarádou mám tento NAT:
add action=dst-nat chain=dstnat comment=".XXX routovano na 10.10.133.19" dst-address=xxx.xxx.xxx.xxx to-addresses=10.10.133.19
add action=src-nat chain=srcnat src-address=10.10.133.19 to-addresses=xxx.xxx.xxx.xxx

Popis problému: nemohu NATovat žádný port z internetu na koncové zařízení za routem s NATovanou veřejkou xxx.xxx.xxx.xxx (privátní IP 10.10.133.19), typicky port 25 na mail server, pokud NAT nastavím, neprojde ani packet.

NAT na routeru ve vnitřní síti:
add action=dst-nat chain=dstnat comment=SMTP dst-address=10.10.133.19 dst-port=25 log=yes protocol=tcp to-addresses=172.16.0.11 to-ports=25

Z vnitřní sítě (10.10.133.0/24) mi telnet na port 25 cílený na IP 172.16.0.11 projde a můj postfix mi odpoví, z internetu ne.

Díky všem za rady.