RRAS NAT + Firewall

Понадобилось тут настроить обратный NAT. Но с тем чтобы через него могли ходить только определенные ip. Поскольку в качестве роутера у меня сейчас Windows RRAS сервер пришлось познакомиться с его оснасткой. Оснастка по ходу не менялась со времен 2003. Ну да ладно. Идем в раздел NAT, выбираем внешний интерфейс - сервисы, добавляем нужные порты и адрес behind the wall.
Отлично. Идем в параметры firewall на NAT сервере и создаем там подходящие правила. Пока все логично и как бы даже nix-like.
Проверяем с разрешенного IP, отлично, it works! Идем с запрещенного ip, отлично... эээээ... - it works! Проверяю правила, вроде нигде не накосячил. Идем на машину behind the wall и настраиваем firewall на ней. Проверка - отлично.

Итого NAT сервис на RRAS срабатывает до firewall.