Подскажите пож-ста, как открыть порты 2000 и 2001 на маршрутизаторе DI-604?

а через firewall нельзя разве открыть порты ?

А как они к попадут внутрь локальной сети?

ну например :

source - wan,*
destination - lan,*
protokol - *,2000-2001

в таком варианте будет работать?

Вы поймите, что сети _РАЗНЫЕ_ на устройстве включен NAT. Чего Вы добъетесь таким правилом?

проблема в том что это все нужно для корректной работы банк-клиента, а в сети все ПК получают айпи динамически, т.е. получаеться что мне надо на ПК ставить фиксированный айпи.

вот и хотелось поставить просто правило в фаервол для двух портов.

но судя повсему так не сделать, только через виртуальный сервер?

Да.
_Только_ через виртуальный сервер