но если я подключаю DSR к инету , то обращаясь на ИП снаружи, я не получаю проброса внутрь. Никаких настроек проброса при этом я не меняю. 804-ый на его месте всё пробрасывает. А 250-ый нет. Не думаю что я чего то недонастроил, я тыщу раз уже делал эту элементарную операцию. Всё всегда работало, а тут нет.

Это по моему вы не понимаете... Есть такая штука - теория сетей. Чтобы получить результат, ну жно как минимум знать в теории как это работает. Зная теорию, уже искать куда и как ходят ваши пакеты.

1) сбросить в заводские настройки ваш dsr.
2) прошить последней прошивкой (не бета), желательно ww
3) сбросить в заводские настройки.
4) по пунктам настраивать.
4.1) wan
4.2) простые правила, 3389 - rdp
4.3) правила фаера, разришить доступ к порту 3389 из внешки, не забыв при этом указать ip компика который будет принимать пакеты на порт 3389.

Все... Делов то, ничего сверх сложного нет.

P.S.
Создали правило не правильно, не исправляем, удаляем и создаем заново. ТОЛЬКО ТАК
Проблем всего 2 (две) не знаю что хочу и не знаю что получу.
А ваша тестовая сеть очень напоминает метод научного тыка. Как говорила Раневская про извращения - хоккей на траве и балет на льду. (Это про компик в wan порту, если конечно вы не сляпали dmz)

DMZ вообще не причём.
А чем вам не нравиться метод проверки, когда к ван порту прицепить обычный комп. В этом случае всё работает. С точки зрения железки, комп с которого стучимся на ван порт может быть где угодно. Хоть в инете, хоть непосредствено подлючён к нему ( у железки адрес ван порта 10.0.0.1, у компа 10.0.0.2.) Так что принципиальной разницы не вижу. НИкакого найчного тыка. Всё прекрастно понимаю, что хочу и как настраиваю.

Ну разница всетаки есть, если один вариант работает, а второй нет...

Три дня мучаю DSR-250 A4A (3.12_ru)
Создавал переадресацию по инструкции. Не работает.
Так как у меня два DVR-сервера внутри LAN, то развести входящее подклчение на два устройства иначе, чем создав два сервиса, не не могу.
Пробовал: удаляю всё (и сервисы и правила фаервола), создаю сервис:
- тип соединения TCP (пробовал и BOTH)
- source ports - ставил и multiple ports (для первого DVR - порт 8082, для второго -8090), и port range (только не как в инструкции - с 1 по 65535, а либо с 8082 по 8082, либо с 8081 по 8083 доя первого, второй удалён). Так как настраиваю удалённо - пробовать вариант с 1 по 65535 не стал, чтобы случайно не отрубить свой "сук на ктором сижу" - порт 8080 управления DSR-250.
- destination - ставил и пусто, и 80, и диапазон 80-80, и диапазон 79-81.
(кстати, не понятно, зачем здесь _диапазон_ destination и как он работает? И зачем он, если в правилах фаервола есть port forwarding?)
- в правилах фаервола - из WAN в LAN, мой сервис, разрешать всегда, явно указан IP-адрес сервера внутри сети, и включал порт форвардинг на 80 порт, и отключал (вопрос - для чего режим с отключенным порт форвардингом?)

Ура, решил проблему. Итак, в правилах - Source port - это порт не роутера, а порт компьютера в WAN, с которого обращение к сервису. Ставим с 1 до 65535
А вот в Destination выставляем наш от 8090 до 8090. Всё. А в правилах фаервола указываем уже port forwarding на нужный IP адрес и нужный порт.