Portweiterleitung / DNAT

Hi,
ich versuche derzeit auf einer UTM9 Firewall eine Portweiterleitung zu erstellen.
Die Firewall ist direkt mit dem Internet verbunden.
Die Weiterleitung betrifft den SSH Dienst.
Der Server steht im internen Netz.
Um Portprobleme auf den SSH Port zu vermeinden, habe ich den SSH Dienst auf dem Server auf den Port 8001 gelegt.

Nun lege ich ein DNAT nach dem folgenden Muster an.
Matching Condition
traffic from: ANY
Using service: 8001/tcp
Going to: External(WAN)(Address)

Action
Change the destination to: 192.168.1.120/internal Server
And the service to: 8001/tcp

Automatic Firewall rule und Initial packets are logged habe ich nicht aktiviert
Dafür habe ich eine eigene extra Firewall Regel nach dem folgenden Schema angelegt.
Source: ANY
Services: 8001/tcp
Destinations: External(WAN)(Address)
Action: Allow

Masquerading:
Internal (Network) -> External (WAN)

So, wenn ich nun in Putty die öffentliche IP der Astaro und den Port 8001 angebe, dann passiert gar nichts. Ich bekomme keinen Loginschirm aber auch keine Timeout- oder Disconnect-Meldung.

Der interne Server hat als Gateway das interne Interface der Firewall eingetragen.

Hat wer eine Idee, was ich falsch mache?
Besten Dank für Anregungen.

Grüße