Преобразование iptables в Brocade / Vyatta

Я хотел бы переключиться с iptables на Brocade / Vyatta , но у меня проблемы с "преобразованием" правил брандмауэра .

Это мой iptables, который работает:

# Default policy to drop 'everything' but our output to internet
iptables -P FORWARD DROP
iptables -P INPUT   DROP
iptables -P OUTPUT  ACCEPT

# Allow established connections (the responses to our outgoing traffic)
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Allow local programs that use loopback (Unix sockets)
iptables -A INPUT -s 127.0.0.0/8 -d 127.0.0.0/8 -i lo -j ACCEPT

# Allow traffic between VLAN servers
iptables -A INPUT -s 89.55.42.0/28 -j ACCEPT

# Allow SSH
#iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

# Allow ICMP for monitoring
iptables -A INPUT -p icmp -j ACCEPT

И это моя попытка на Brocade / Vyatta:

set security firewall name VLAN-200-IN default-action 'drop'

set security firewall name VLAN-200-IN rule 10 action 'accept'
set security firewall name VLAN-200-IN rule 10 source address '89.55.42.0/28'

set security firewall name VLAN-200-IN rule 20 action 'accept'
set security firewall name VLAN-200-IN rule 20 destination port '22'
set security firewall name VLAN-200-IN rule 20 protocol 'tcp'

set security firewall name VLAN-200-IN rule 30 action 'accept'
set security firewall name VLAN-200-IN rule 30 protocol 'icmp'

set security firewall name VLAN-200-OUT default-action 'accept'

Который подключен к моей VLAN / VIF:

 interfaces {
        bonding dp0bond1 {
                address 77.51.23.1/23
                mode lacp
                vif 200 {
                        address 89.55.42.0/28
                        firewall {
                            in VLAN-200-IN
                            out VLAN-200-OUT
                        }
                }
                vrrp {
                        vrrp-group 2 {
                                ...
                        }
                }
        }
...

Я тестирую и хочу защитить VLAN 200, но в моем примере я все еще могу отправлять пакеты через порт SIP 5060 на серверы за шлюзом. Что я неправильно понял?