Не срабатывает DNAT (vlan, br0)

Добрый день
Столкнулся со следующей проблемой:
От провайдела приходит канал в котором есть наша локалка 192.168.0.0/16 (удаленные офисы)
И тегированым трафиком приходит интернет.
Все это принимает сервачек под управлением centOS

в eth0 <--кабель от провайдера
в eth1 <-- наша локалка
в eth0.4011 <-- идет тегированый трафик от провайдера
из eth0 и eth1 собран мост br0

Работает все, кроме проброса внешних ресурсов сети
т.е. порт ssh на самом сервере доступен извне, а сервер терминалов по правилу:

iptables -t nat -A PREROUTING -d ${WAN_ADDR} -p tcp --dport 3389 -i eth0.4011 -j DNAT --to-destination 192.168.10.103:3389
iptables -A FORWARD -p tcp -m tcp --dport 3389 -d 192.168.10.103 -j ACCEPT

не работает. На другой машине с такими правилами все отрабатывает на Ура!
Помогите разобраться.

[console]
iptables -t nat -A POSTROUTING -m tcp -p tcp --dport 3389 -d 192.168.10.103 -j SNAT --to-source ${LAN_ADDR}
[/console]
-o по вкусу