доступ к pc в сети 192.168... через соседнюю с реальным ip

[Nicholas <spam@networkgate.us>]

Есть "pc1" в локальной сети с адресом eth0 192.168.1.3
он соединяется с удаленным сервером "server" openvpn (с диапазоном 
реальных адресов xx.xx.2.0/24) и получает адрес tap 192.168.1.3

"server" имеет настройку iptables:
-A PREROUTING -d xx.xx.2.1 -j ACCEPT
-A PREROUTING -d xx.xx.2.0/24 -j NETMAP --to 192.168.2.0/24
-A POSTROUTING -s 192.168.2.0/24 -j NETMAP --to xx.xx.2.0/24

таким образом "pc1" 192.168.1.3 "получает" внещний ip xx.xx.2.3 (и это 
работает):
его ifconfig
eth0    inet addr:192.168.1.3
tap5    inet addr:192.168.2.3

в той же локальной сети есть "pc2" с адресом eth0 192.168.1.4
и www сервисом на порту 8081, до которого надо достучатся "из вне".

Для этого на pc1 создаются правила:

-A PREROUTING --dst 192.168.2.3 -p tcp --dport 8081 -j DNAT 
--to-destination 192.168.1.4
-A POSTROUTING --src 192.168.1.4 -p tcp --sport 8081 -j SNAT --to-source 
192.168.2.3:8081

Но они не работают - по адресу xx.xx.2.3:8081 страница не открывается.

Вопрос: как правильно настроить iptables на ps1, что бы получить доступ 
к ps2:8081 "из вне" ?


Спасибо.

--
Sincerely,
	Nicholas