Muchas gracias por el aporte, muy útil y además bien explicado para poder entender qué hace cada cosa.
Si no es abusar quisiera me ayudaran con un par de reglas que me permitieran hacer que un cliente que está detrás de un segundo router (administrador) salga a Internet por un solo puerto WAN específico. Gracias de antemano.