servidor de email com tls por trás de um roteador cisco

Question

Eu tenho um servidor de e-mail com tls por trás de um roteador cisco. Testes para conexões de TLS de dentro provam que tls está bem configurado.

De um host em uma sub-rede local:

zzzz@server:~# telnet mail.xxx.co.ug 25
Trying 192.168.1.20...
Connected to mail.xxx.co.ug.
Escape character is '^]'.
220 mail.xxx.co.ug ESMTP Postfix
ehlo example.com
250-mail.xxx.co.ug
250-PIPELINING
250-SIZE 20240000
250-ETRN
250-STARTTLS
250-AUTH DIGEST-MD5 NTLM CRAM-MD5 LOGIN PLAIN
250-AUTH=DIGEST-MD5 NTLM CRAM-MD5 LOGIN PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
quit
221 2.0.0 Bye

Do roteador / host da internet: Isso é o que recebo do roteador e quando faço telnet de um host da Internet para o servidor de email

'OME-GW#telnet mail.xxx.co.ug 25
Trying mail.xxx.co.ug (192.168.1.20, 25)... Open
220 mail.xxx.co.ug ESMTP Postfix
ehlo example.com
250-mail.xxx.co.ug
250-SIZE 20240000
250-AUTH DIGEST-MD5 NTLM CRAM-MD5 LOGIN PLAIN
250 DSN'

Observe que não há STARTTLS

As Listas de Acesso são configuradas para permitir o pop3 e o smtp através do servidor de e-mail, isto está funcionando como esperado. O problema é que as conexões de tls não estão chegando ao servidor de correio da Internet. Abaixo está minha ACL externa da Internet

Extended IP access list 102
    10 permit tcp any any eq pop3 (9768 matches)
    20 permit tcp any any eq smtp (66860 matches)
    30 permit tcp any any eq 1194 (279 matches)
    40 permit gre any any
    50 permit icmp any XXX.157.20.236 0.0.0.3 echo (7943 matches)
    60 permit icmp any XXX.157.20.236 0.0.0.3 echo-reply (75134 matches)