Оригинальный IP после проброса в firewalld

[Virtus1k]

Привет
Досталась в наследство машина на CentOS8, которая пробрасывает через firewalld на несколько серверов внутри пользователей на разные порты. Конфиг простой

Код: Выделить всё

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. </description>
  <service name="ssh"/>
  <service name="dns"/>
  <service name="ftp"/>
  <port port="6661" protocol="tcp"/>
  <masquerade/>
   <forward-port port="11241" protocol="udp" to-port="3389" to-addr="192.168.1.92"/>
  <forward-port port="11241" protocol="tcp" to-port="3389" to-addr="192.168.1.92"/>
  # добавляю проброс на апач
  <forward-port port="80" protocol="tcp" to-port="80" to-addr="192.168.1.213"/>
    <rule family="ipv4">
    <source ipset="sshguard4"/>
    <drop/>
  </rule>
  <rule>
    <source ipset="sshguard4"/>
    <drop/>
  </rule>
  <rule family="ipv6">
    <source ipset="sshguard6"/>
    <drop/>
  </rule>
</zone>

В логах апача, который на сервере 192.168.1.213 передается IP CentOS (192.168.1.211), а не оригинальный IP юзера.
Не могу понять куда копать, подскажите, пжлст.
Спасибо

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[guest]

я бы вырубил к аццким ебеням этот уродливый мутант фиревалл-ДЭ и заюзал старый добрый iptables