DNAT в Shorewall не работает для VPN

У меня есть брандмауэр (10.8.0.1), подключенный к внутреннему серверу (10.8.0.2) через VPN. На брандмауэре интерфейс VPN называется tun0, Итак, в моей конфигурации shorewall у меня есть это:

$ cat interfaces
#ZONE   INTERFACE   OPTIONS
-       lo          ignore
vpn     tun+        optional
net     eth+        dhcp,physical=+,routeback,optional

$ cat zones
#ZONE   TYPE        OPTIONS     IN          OUT
#                               OPTIONS     OPTIONS
fw      firewall
vpn     ipv4
net     ip

$ cat policy
#SOURCE DEST    POLICY      LOG LIMIT:      CONNLIMIT:
#               LEVEL       BURST           MASK
$FW     net     ACCEPT
$FW     vpn     ACCEPT
vpn     all     ACCEPT
net     all     DROP        info

Теперь я хочу перенаправить весь трафик из общедоступной сети, идущий на TCP-порт 2222 брандмауэра, на порт внутреннего сервера 22. Поэтому я добавил следующие две строки:

$ cat rules
ACCEPT          net         $FW                 tcp     2222
DNAT            net         vpn:10.8.0.2:22     tcp     2222

В моем shorewall.conf файл у меня есть эта строка:

IP_FORWARDING=On

Тем не менее, это не похоже на работу.
Что мне здесь не хватает?