［求助］端口映射使用内网的WinVNC服务总是不成功

ufleet

我在内网的Windows机器上安装了WinVNC 3.37，服务端口号是默认的5900；我用Redhat 9做了一个NAT提供给内网的机器上网，现在要将内网的WinVNC服务做个端口映射供我在外网远程控制内网的机器，总是出问题，而我做FTP和WWW服务的端口映射很容易就成功了。

我的详细步骤是：

在防火墙配置文件/etc/sysconfig/iptables里添加了规则：
……
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 65500 --syn -j ACCEPT
……
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --syn -j REJECT
……
重启iptables服务，然后再设置端口映射：
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 65500 -j DNAT --to-destination 192.168.0.250:5900

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 192.168.0.250 -p tcp -m tcp --dport 65500 -j SNAT --to-source 192.168.0.1

结果失败：（

但是如果这样做：

在防火墙配置文件/etc/sysconfig/iptables里添加了规则：
……
-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport 65500 --syn -j ACCEPT
……
# 注释下面这句
#-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --syn -j REJECT
……
重启iptables服务，然后再设置端口映射：
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 65500 -j DNAT --to-destination 192.168.0.250:5900

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -d 192.168.0.250 -p tcp -m tcp --dport 65500 -j SNAT --to-source 192.168.0.1
这样则成功

请问这是怎么回事？我做FTP和WWW这些同样也是基于端口的内网服务时是不需要去掉“-A RH-Lokkit-0-50-INPUT -p tcp -m tcp --syn -j REJECT”这个规则的，为什么做远程终端和远程桌面、WinVNC、PcAnyWhere等远程控制的服务时就需要去掉它？我遗漏了什么？请高手帮我，如果不能保留这条规则防火墙可以说是已经无用了么？

ufleet

顶一下，没有人做过远程控制服务的端口映射吗？