Не могу пробросить порт. Пакеты пропадают после PREROUTING.

Добрый день. Прошу помочь с проблемой.
Есть VPN сервер, пакеты с одного из его ip идут ко мне (порты 22001-24000). Есть моя машина, имеет статический ip в vpn сети 172.19.0.9 P-t-P:172.19.0.10, интерфейс tun1
Я хочу пробросить порт 22001 своей машины на порт 80 (для начала моей же машины, потом будет ip-камера в локалке)
Настройки моей машины:

iptables -t nat -I PREROUTING -i tun1 -p tcp --dport 22001  -j LOG --log-level INFO --log-prefix "Vhod tun1 22001: "
iptables -t nat -A PREROUTING -i tun1 -p tcp --dport 22001 -j DNAT --to-destination 172.19.0.9:80 #мой же ip в vpn сети, потом заменю на ip камеры в локалке
iptables -t mangle -A INPUT -p tcp --dport 80 -j LOG --log-level INFO --log-prefix "INPUT 80: "

Форвардинг включен:

without-pc  # cat  /proc/sys/net/ipv4/ip_forward
1
without-pc  # cat  /proc/sys/net/ipv4/conf/all/forwarding 
1

Стучусь по external_ip_vpn_server:22001, пытаюсь зафиксировать пакеты до маршрутизации и после:

[ 6150.304125] Vhod tun1 22001: IN=tun1 OUT= MAC= SRC=my_inet_ip DST=172.19.0.9 LEN=60 TOS=0x00 PREC=0x00 TTL=55 ID=9176 DF PROTO=TCP SPT=57076 DPT=22001 WINDOW=5840 RES=0x00 SYN URGP=0 
[ 6153.034265] Vhod tun1 22001: IN=tun1 OUT= MAC= SRC=my_inet_ip DST=172.19.0.9 LEN=60 TOS=0x00 PREC=0x00 TTL=55 ID=49665 DF PROTO=TCP SPT=57075 DPT=22001 WINDOW=5840 RES=0x00 SYN URGP=0 
[ 6153.285232] Vhod tun1 22001: IN=tun1 OUT= MAC= SRC=my_inet_ip DST=172.19.0.9 LEN=60 TOS=0x00 PREC=0x00 TTL=55 ID=9177 DF PROTO=TCP SPT=57076 DPT=22001 WINDOW=5840 RES=0x00 SYN URGP=0 

Как можно видеть, сообщений из INPUT не поступило.
Таблица маршрутизации:

without-pc  # route
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
vpn.swamp.ru    *               255.255.255.255 UH    0      0        0 eth0
172.18.0.2      *               255.255.255.255 UH    0      0        0 tun0
172.19.0.10     *               255.255.255.255 UH    0      0        0 tun1
10.5.0.1        *               255.255.255.255 UH    0      0        0 ppp0
172.18.0.0      172.18.0.2      255.255.255.0   UG    0      0        0 tun0
172.19.0.0      172.19.0.10     255.255.255.0   UG    0      0        0 tun1
172.16.0.0      *               255.255.0.0     U     0      0        0 eth0
loopback        *               255.0.0.0       U     0      0        0 lo
default         10.5.0.1        0.0.0.0         UG    0      0        0 ppp0

Порты у меня открыты:

without-pc  # iptables -t filter -L INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
LOG        all  --  anywhere             anywhere            LOG level info prefix `-t filter INPUT -i tun1: ' 

Вопрос: почему я не вижу пакетов в цепочке INPUT? Куда они деваются после PREROUTING?
В данный момент не является важными маркировка соединений и маршрутизация обратных пакетов (ответов www сервера). Проблемы буду решать по мере поступления.

UPD: В английской википедии нашлась более подробная картинка http://upload.wikimedia.org/wikipedia/commons/3/37/Netfilter-packet-flow.svg
На ней показан некий "bridging decision". Не могу понять, что это