Proxmox环境中NAT后的内网虚拟机无法访问外部SMTP服务25端口的问题求助

各位大佬好，我遇到了一个网络配置的棘手问题，想请大家帮忙分析排查：

问题现象 #

• 从公网可以正常访问NAT后的内网机器的25端口，邮件接收也能正常工作（其他邮件端口的通信没有问题）；
• 但内网机器尝试telnet外部公网SMTP服务器的25端口时，会直接超时无法连接，比如测试hotmail-com.olc.protection.outlook.com[104.47.51.225]:25就失败；
• 有意思的是，从Proxmox主机直接telnet公网SMTP的25端口是完全正常的，说明出站的25端口本身是通的，问题应该出在内网机器走OPNsense NAT出站的环节。

当前网络配置情况 #

我的网络拓扑里做了如下NAT相关配置：

1. Proxmox到OPNsense路由器的伪装规则：

iptables -t nat -A POSTROUTING -s '10.10.10.0/24' -o enp0s31f6 -j MASQUERADE

2. 两层端口转发设置：
   • Proxmox上用iptables将公网25端口转发到OPNsense：

     iptables -t nat -A PREROUTING -p tcp --dport 25 -j DNAT --to-destination 10.10.10.10:25
     

   • OPNsense上通过Web界面，进一步把25端口转发到内网的目标机器。

入站的25端口转发完全正常，但内网机器出站访问外部25端口就是不行，我是不是漏掉了什么关键配置？

备注：内容来源于stack exchange，提问作者EAK TEAM