Невозможно выполнить переадресацию через iptables

Как перенаправить трафик с определенного порта на другую машину?

+-----------------+ +---------------------+ +------ ------------------+
| клиент | | посредник | | сервер |
| (окна) | | (дебиан) | | (Windows) |
| 10.10.1.30-+-----+-10.10.1.1 (eno1) | | |
+-----------------+ | 10.10.2.1 (ens6f3)-+------+-10.10.2.2 (порт 3389) |
                        +----------------------+ +------------------------+

В этом тестовом случае я пытаюсь подключиться к RDP (TCP-порт 3389) из клиент к сервер. я пытаюсь настроить iptables правила о посредник, но я не могу этого сделать:

$ судо sysctl -a
...
net.ipv4.ip_forward = 0
net.ipv4.conf.all.forwarding = 0
net.ipv4.conf.eno1.forwarding = 0
net.ipv4.conf.ens6f3.forwarding = 0
...
$ sudo sysctl net.ipv4.conf.eno1.forwarding=1
$ sudo iptables -A PREROUTING -t nat -i eno1 -p tcp --dport 3389 -j DNAT --to 10.10.2.2:3389
$ sudo iptables -A FORWARD -p tcp -d 10.10.2.2 --dport 3389 -j ПРИНЯТЬ
$ sudo iptables -t nat -L -n -v
Цепочка PREROUTING (политика ACCEPT 0 пакетов, 0 байт)
 pkts bytes target prot opt ​​in out source target     
    0 0 DNAT TCP -- eno1 * 0.0.0.0/0 0.0.0.0/0 TCP dpt:3389 до 10.10.2.2:3389

Сейчас я пытаюсь RDP с 10.10.1.30 на 10.10.1.1. Я ожидаю входа в 10.10.2.2, но не получаю ответа от этого порта.

Что я делаю не так?

Я также пробовал:

$ судо sysctl net.ipv4.ip_forward=1
$ sudo iptables -A FORWARD -i eno1 -o ens6f3 -p tcp --syn --dport 3389 -m conntrack --ctstate NEW -j ПРИНЯТЬ 
$ sudo iptables -A FORWARD -i eno1 -o ens6f3 -m conntrack --ctstate УСТАНОВЛЕНО,СВЯЗАННО -j ПРИНЯТЬ
$ sudo iptables -A FORWARD -i ens6f3 -o en01 -m conntrack --ctstate УСТАНОВЛЕНО,СВЯЗАННО -j ПРИНЯТЬ