Algunos paquetes se descartan en [wan-local], cuando existe la regla DNAT

Question

Estoy ejecutando EdgeOS (también conocido como vyatta 6.3, también conocido como Debian) con 3.4.27. Hay dos reglas de reenvío de puertos DNAT como esta:

rule 1 {
 destination {
     port 65432
 }
 inbound-interface eth0
 inside-address {
     address 192.168.88.5
 }
 log disable
 protocol tcp_udp
 type destination
}

Sin tener en cuenta los detalles de esta distribución de Linux, supongo que TODOS los paquetes TCP y UDP deben reenviarse a la LAN y filtrarse únicamente mediante reglas de firewall [wan-lan]. ¿Estoy en lo cierto en esta suposición? PorquealgunoLos paquetes designados a la IP de eth0 y con un puerto que satisface la regla DNAT, aún terminan en el firewall [wan-local]. Esos paquetes son en su mayoría TCP con los siguientes indicadores: ACK RST, RST, ACK FIN. El flujo no está realmente activo y no hay caídas en eth0 durante ese tiempo.

¿Me estoy perdiendo algo o iptables no hace su trabajo al 100% correctamente?

Gracias.