потчовик через NAT

[aleksandr.rusin]

Коллеги, подскажите:
Есть два микрота, первый с выходом в инет но блокированными почтовыми портами на отправку, второй на vps хостинге. Построил тоннель ipsec между этими миротами, на первом исключил потовые порты из NAT , и правилами ipsec зарулил их на второй микрот , на втором настроил три правила:

1 chain=dstnat action=dst-nat to-addresses=192.168.1.22 protocol=tcp dst-address=77.77.77.77 dst-port=25,465,587 log=yes log-prefix=»mailn_»
2 chain=srcnat action=src-nat to-addresses=77.77.77.77 protocol=tcp dst-address=192.168.1.22 dst-port=25,465,587 log=yes log-prefix=»mailn_»
3 chain=srcnat action=src-nat to-addresses=77.77.77.77 protocol=tcp src-address=192.168.1.22 dst-port=25,465,587 log=yes log-prefix=»mailout_»

Вся приходящая почта на kerio из вне определяется почтовиком как отправленная с самого хоста второго миротика, не могу понять в чем загвоздка как поправить ?

p/s без правила 2 src-nat , соединение остается в состоянии syn sent