проброс портов iptables

[fixec <fixec@mail.ru>]

имею сервер с несколькими интерфейсами, который пускает в сеть через нат
т.е. в файле /etc/iptables.rules написано

*filter
-F
-X

-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT

-A INPUT -i lo -j ACCEPT
-A INPUT -s 127.0.0.1/255.0.0.0 ! -i lo -j DROP

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
-A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

-A INPUT -i eth0 -p tcp -j ACCEPT
-A INPUT -i eth0 -p udp -j ACCEPT

-A INPUT -i eth1 -p tcp --dport 4089 -j ACCEPT
-A INPUT -i eth1 -p udp --dport 1300 -j ACCEPT

-A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
-A FORWARD -m state --state NEW -i eth0 -s 10.192.22.0/27 -j ACCEPT
COMMIT

*nat
-A POSTROUTING -o eth1 -j MASQUERADE
COMMIT

все отлично работает, моя сеть 10.192.22.0/27 имеет доступ, но нужно сделать проброс портов для ДЦ(tcp:4089, udp:1300)
подскажите как это правильно сделать, пробывал

-A PREROUTING -p tcp -m tcp -i eth1 --dport 4089 -j DNAT --to-destination 10.192.22.1:4089
-A PREROUTING -p udp -m udp -i eth1 --dport 1300 -j DNAT --to-destination 10.192.22.1:1300

не вижу нужного результата ((((