Перенаправление портов WatchGuard / Статический NAT

Я пытаюсь передать определенный порт на своем брандмауэре WatchGuard к внутреннему узлу в определенном VLAN. Моя установка примерно следующие:

 INTERNET
    vv
WatchGuard
    vv--------vv--------vv
  [VLAN1]   [VLAN2]   [VLAN3]
              vv
            Server

Я имею, устанавливают правило SNAT от Any-External к IP-адресу внутреннего сервера без перевода порта. Затем я добавил политику брандмауэра с

• Действие: позволить
• пользовательский фильтр на порте tcp:10000
• из любого источника
• к моему правилу snat

Это все как рекомендуется документацией, но при попытке получить доступ к ней от внешнего IP, порт остается фильтрованным и зарегистрирован как необработанный (xxx быть внешним клиентом и yyy IP брандмауэра):

Process=firewall  Disposition=Deny  Policy=Unhandled External Packet-00  Source IP=xx.xx.xx.xx  Destination IP=yy.yy.yy.yy  Source Interface=0-External  Destination Interface=0-External  Source Port=19852  Destination Port=10000  Protocol=webmin/tcp

Я играл вокруг с переводом порта, более определенными интерфейсными настройками для SNAT и прокси вместо действий фильтра, но я просто не могу заставить его работать. Что я пропускаю?

Редактирование (2015-06-16): Вот мои экраны конфигурации:

Проверка порта от внутренней сети:

$ nmap -sT -p 10000 192.168.79.100
[...]
PORT      STATE SERVICE
10000/tcp open  snet-sensor-mgmt
[...]

Проверка порта от внешней сети (на IP yyy интернет-соединения, xxx быть известным открытым портом управления):

user@extServer:~# nmap -sT -p xxx,10000 yyy.yyy.yyy.yyy
[...]
PORT      STATE    SERVICE
8089/tcp  open     unknown
10000/tcp filtered snet-sensor-mgmt
[...]