Оказывается, что конструёвина типа:
ip nat inside source static tcp 192.168.1.2 80 а.а.а.а 80 extendable
Принудительно заруливает трафик от 192.168.0.136 по 3389 в NAT. А если от маршрутизатора прокинуты ещё и ipsec туннели, то надо пользоваться чем то вроде такого:
ip nat inside source static tcp 192.168.1.2 80 а.а.а.а 80 route-map nonat-map
Взято от сюда
Ну и как удалить статический нат
для пропуска ftp через nat надо на роутере сделать примерно следующее
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe iptable_nat
modprobe ip_nat_ftp
с прописью модулей в /etc/modules
или так (не проверено)
iptables -A INPUT -p tcp -i eth0 -m state –state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -p tcp -i eth0 -m state –state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -p tcp -o eth0 -m state –state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp -o eth0 -m state –state RELATED,ESTABLISHED -j ACCEPT
eth0 – это вроде как внешний интерфейс.