firewall-cmd configura o destino NAT

Question

Estou tentando configurar o NAT de destiation em um servidor RHEL 7.4. Eu quero que qualquer tráfego gerado para 10.10.10.10:443 vá para 10.20.20.20:443.

Depois de pesquisar no Google, usei a seguinte regra direta:

firewall-cmd --direct --add-rule ipv4 nat PREROUTING 0 -d 10.10.10.10 -p tcp --dport 443 -j DNAT --to-destination 10.20.20.20:443

Eu pude ver isso na cadeia PREROUTING_direct.

# iptables -t nat -vxnL PREROUTING_direct
Chain PREROUTING_direct (1 references)
    pkts      bytes target     prot opt in     out     source               destination
       0        0 DNAT       tcp  --  *      *       0.0.0.0/0            10.10.10.10          tcp dpt:443 to:10.20.20.20:443

Mas quando eu faço telnet para 10.10.10.10:443 ele não redireciona para 10.20.20.20: 443

Eu não vejo a regra é atingida (pkts = 0, bytes = 0). O evento tcpdump não é como o tráfego vai para 10.20.20.20.

Felicidades,

J