vpn + ipfw + nat

день добрый.

есть freebsd, на которой поднят nat, ipfw и vpn. через vpn народ ходит в инет (squid). все банально :)

вопрос: как избранный народ пустить наружу по 25 и 110 порту на избранный ip? все в лучших традициях я уже вроде как сделал, но увы...

cat /etc/natd.conf
alias_address x.x.x.x
use_sockets yes
same_ports yes

cat /etc/rc.firewall
${fwcmd} add divert natd all from any to ${iip} in via rl0
${fwcmd} add divert natd all from ${my_ip} to any out via rl0

с клиентской машины говорю:
telnet x.x.x.x 25

молчит, зараза...

может я конечно чего пропустил, тем более что
cat /etc/rc.firewall | wc -l
293

но я разрешил все, а волшебный deny если даже и встречается, то весьма не часто и к рассматреваемому вопросы не относится, имхо...

что можно глянуть? как можно отследить какой пакет куда идет и где режется? в конце концов кто виновать и что делать? :)