Здравствуйте. Есть сервер (Ubuntu) в интернете с настроенным openvpn. Вот его конфиг:

port 1194
dev tap0
secret /etc/openvpn/server.key
comp-lzo
daemon
log-append /var/log/openvpn.log
verb 4
ifconfig 172.16.128.1 255.255.255.0
ping 15

Есть так же клиент (172.16.128.2). Задача опубликовать vnc порты клиента на внешней ip сервера.

Вот правила iptables:
:INPUT ACCEPT [2039:1678228]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [531:61486]
-A INPUT -i tap+ -j ACCEPT
-A INPUT -p udp -m udp --dport 1194 -j ACCEPT
-A FORWARD -i eth0 -o tap+ -j ACCEPT
-A FORWARD -i tap+ -o eth0 -j ACCEPT
-A FORWARD -d 1.2.3.4/32 -p tcp -m tcp --dport 5800 -j ACCEPT
-A FORWARD -d 1.2.3.4/32 -p tcp -m tcp --dport 5900 -j ACCEPT

-t nat -A PREROUTING -p tcp -i eth0 --dport 5800 -j DNAT --to 172.16.128.2:5800
-t nat -A PREROUTING -p tcp -i eth0 --dport 5900 -j DNAT --to 172.16.128.2:5900

Кажется, все верно. Пакеты на правила в таблице nat приходят (на первое, второе должно отрабатывать после того, как будет установлена связь на порту 5800). Но в таблице FORWARD их нет. NAT не работает. На клиентском компьютере порты открыты.

Подскажите, пожалуйста, в чем может быть причина? Горит...