Alguns pacotes são descartados em [wan-local], quando existe uma regra DNAT

Question

Estou executando o EdgeOS (também conhecido como vyatta 6.3 também conhecido como debian) com 3.4.27. Existem duas regras de encaminhamento de porta DNAT como esta:

rule 1 {
 destination {
     port 65432
 }
 inbound-interface eth0
 inside-address {
     address 192.168.88.5
 }
 log disable
 protocol tcp_udp
 type destination
}

Desconsiderando as especificidades desta distribuição Linux, presumo que TODOS os pacotes TCP e UDP devem ser encaminhados para a LAN e apenas filtrados pelas regras de firewall [wan-lan]. Estou certo nesta suposição? Porquealgunspacotes designados para IP de eth0 e com dport satisfazendo a regra DNAT, ainda acabam no firewall [wan-local]. Esses pacotes são principalmente TCP com os seguintes sinalizadores: ACK RST, RST, ACK FIN. O fluxo não está realmente ativo e não há quedas na eth0 durante esse período.

Estou faltando alguma coisa ou o iptables não faz seu trabalho 100% corretamente?

Obrigado.