почему позволяет назначать ip-ы и соответственно делать на них port-mapping посредством Virtual Server только на адреса из своей подсети где сам находится? Например сам он 192.168.1.1 и может LAN "клиентов" заводить только соответственно 192.168.1.2-192.168.1.254
Virtual Server-у не всё-ли равно? Главное чтобы пакет на сетевой интерфейс сетевухи вернулся, а там его куда надо уж смаршрутизируют....
Получается что мапить порты я могу только машины куда подключем модем и не далее...

портфорвардинг работает только между двумя сетевыми интерфейсами WAN->LAN.