nat descriptor masquerade incomingの設定って皆さんしてます?
デフォだと、0-1023までのポートの場合、リセットかえしちゃうんで。
discardにして、外のインターフェースをstealth設定して使ってます。