Есть корп.сеть, вот схема

Мне нужно чтобы пользователь 10.40.2.250 мог приконектиться к ftp 10.49.1.166. На данный момент только клиентская подсеть может без проблем попасть на ftp. Комп 10.40.2.250 при попытке получает ошибку «не удается установить связь с сервером » Вот правила которые в iptables

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -d 10.49.1.166 -p tcp --dport 20 -j ACCEPT
iptables -A FORWARD -d 10.49.1.166 -p tcp --dport 21 -j ACCEPT
iptables -A FORWARD -d 10.49.1.166 -p tcp --dport 40000:40050 -j ACCEPT

вот конфиг vsftp:

listen=YES
anonymous_enable=NO
local_enable=YES
write_enable=YES
local_umask=023
dirmessage_enable=YES
use_localtime=YES
xferlog_enable=YES
connect_from_port_20=YES
chown_uploads=YES
chown_username=admin
xferlog_file=/var/log/vsftpd.log
ascii_upload_enable=YES
ascii_download_enable=YES
chroot_local_user=YES
allow_writeable_chroot=YES
chroot_local_user=YES
rsa_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
rsa_private_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
ssl_enable=NO

pasv_enable=YES
pasv_max_port=40050
pasv_min_port=40000

В логах пусто, уже сломал всю голову, к слову, если vsftpd поставить на сам шлюз и прописать теже правила только для INPUT всё отлично работает. Заранее благодарен