Задача - есть видео сервер, за маршрутизатором, нужно открыть доступ извне к внутреннему серверу видео камер.

Делаю форвардинг - правило:
Video SAT wan all-netsAddress: 0.0.0.0/0 core all-netsAddress: 0.0.0.0/0 CAMERASERVDestination ports: 33340 оно форвардит 33340 на порт 80 нужного сервера.
Allow Allow any all-netsAddress: 0.0.0.0/0 any all-netsAddress: 0.0.0.0/0 CAMERASERVDestination ports: 33340 разрешаю порт на фаере - в итоге могу попасть на страницу авторизации.

Далее имеем - загружаю всякие плагины для просмотра видео - в логах видим что нужно открыть порт 4550 на тот же сервер, делаю аналогично:
CAMERA1 Allow any all-netsAddress: 0.0.0.0/0 any all-netsAddress: 0.0.0.0/0 CAMERASERV1Destination ports: 4550
CAMERA1sat SAT wan all-netsAddress: 0.0.0.0/0 core all-netsAddress: 0.0.0.0/0 CAMERASERV1Destination ports: 4550

в итоге получаем в плагине для ИЕ сообщение невозможно подключится к серверу, а в логах -
2011-02-09
21:51:09 Notice RULE
6000060 LocalUndelivered TCP wan
IP ИСТОЧНИК
IP НАЗНАЧЕНИЯ
1960
4550 unhandled_local
drop
ipdatalen=28 tcphdrlen=28 syn=1

2011-02-09
21:51:09 Warning TCP_OPT
3400019 TCP wan
core IP ИСТОЧНИК
IP НАЗНАЧЕНИЯ
4550 mismatching_tcp_window_scale
adjust

Порядок следования важен

SAT wan all-nets core wan_ip ports_4550
Allow wan all-nets core wan_ip ports_4550
Да и вообще, порядок важен.

Чем меньше any и all-nets, тем лучше: надежнее и быстрее.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Спасибо, помогло.