A NAT nem tűzfal! v4-en ez mindig is egy kényszermegoldás volt. Ha nem kell a belső gépek elérése, akkor tessék rá firewall rule-t írni.