Chuyển tiếp cổng trong khi bảo toàn địa chỉ IP nguồn bằng tường lửa

Tôi đã đăng ký với một ISP mới và họ không cung cấp cho tôi địa chỉ IPv4 bên ngoài. Tôi đã thiết lập một máy chủ ảo (S) (có địa chỉ) để chuyển tất cả nội dung của tôi đến hộp của tôi ở nhà (B) bằng cách sử dụng đường hầm bảo vệ.

Trên (S) tôi đã định cấu hình:

sysctl -w net.ipv4.ip_forward=1
tường lửa-cmd --zone=external --add-forward-port=port=<CỔNG BÊN NGOÀI>:proto=<PROTOCOL>:toport=<CỔNG NỘI BỘ>:toaddr=<IP NỘI BỘ>
tường lửa-cmd --zone=bên ngoài --add-masquerade
tường lửa-cmd --zone=external --add-port=<CỔNG BÊN NGOÀI>/<PROTOCOL>

BẬT (B) Tôi đã định cấu hình:

tường lửa-cmd --zone=internal --add-port=<CỔNG NỘI BỘ>/< GIAO THỨC>

Các thiết lập hoạt động khá tốt. Tất cả kết nối đến (B), nhưng địa chỉ nguồn (rõ ràng) bị giả mạo. Chỉ cần loại bỏ giả mạo thông qua tường lửa-cmd --zone=bên ngoài --remove-masquerade trên (S) không hoạt động. Câu hỏi của tôi bây giờ là: Làm cách nào để đạt được thiết lập tương tự với tường lửa, không giả mạo địa chỉ IP nguồn, sao cho tôi vẫn có thể phân tích các nguồn trên (B)?

Cảm ơn trước!