$IPT -t nat -A PREROUTING -p tcp -i $inet_dev -s xx.xx.xx.xx --dport 3333 -j DNAT --to-destination 192.168.0.xx:3333

Подскажите, почему может не работать данное правило на Linux шлюзе, приходит из инета, пробрасывается , получает состояние SYN_SENT, но ответ не приходит.

Для чистоты эксперимента все пакеты ходят свободно, ограничений нет.

Проброс идет на сервер SQL который 100% работает как надо, исходя из того, что на (пока еще основном) шлюзе на винде правила firewall аналогичные и все работает.