ssh на внешний интерфейс из локалки

Ситуация следующая. Есть гейт одним концом торчащий в Инет, другим в локалку. На нём стоит СуСЕ 9.1, поднят файрвол, разрешён один ssh. Народ работает из Нета с cvs'ом, и SVC/Root содержит реальный ip, который на внешнем интерфейсе. Потом этот народ приходит и втыкает ноут в локалку. Возникает законное желание не выкачивать заново рабочую копию, а сделать апдейт уже имеющейся. Но ни пинг, ни ssh на внешнюю сетевуху из локалки не идёт. Вроде ip-forward и маскарадинг стоит. Защита от внутренней сети отсутствует. Не подскажете, что надо донастроить, если я правильно понимаю, в /etc/sysconfig/SuSEfirewall2?