Adesso saned funziona. Era necessario settare anche net.netfilter.nf_conntrack_helper = 1 oltre alle regole del firewall. Grazie Felipe, ciao Simone