подскажите что нужно ему, чтобы пропустить из внешней сети (интернет) интерфейс eth0 (ip=1.2.3.4) на внутреннюю сеть, интерфейс eth1 (ip=192.168.1.1) пакеты от цитрикс ICA   (входящие: tcp=1494, udp=1604, исходящие: udp=1604 и tcp=1023 и выше...)  и оттуда они попали на ip=192.168.1.2 (другой компьютер).
банальная задача.  
все хау-то перечитал, примеры перепробовал - упарился.
изнутри всё работает.  Во внешнюю сеть всё через маскарад идёт.  Изнутри могу подключаться к роутеру по ssh без проблем, снаружи даже по ssh не могу подключиться, хотя правила пробовал теже что и для внутренней сети.
ПОМОГИТЕ, не оставьте без ответа.

С уважением, Сергей