>очевидно нужна 3 строчка
>
>iptables -t nat -A OUTPUT --dst $WAN_INTERFACE -p tcp --dport 33999 -j
>DNAT --to-destination $LAN_RDP_SERVER:3389
>
>ну как то так

ой с портом снаружи я явно промахнулся :) ну какой вам там нужен пишите