ipmasqadm + ipchains

Внутри локалки (за маскарадом, линуховым сервером) есть NT-сервер, на который нужно ходить terminalservice клиентом(ходит по порту 3389 tcp). Внутри локалки ходим без проблем. Нужно сделать, чтобы можно было ходить на него извне. На Linux ipchains. Это порт не закрыт. ipmasqadm portfw -a -P tcp -L адрес_сервера 3389 -R адрес_лок_машины 3389. Но не работает.. Где грабли?