firewalld 端口转发失败

问：

我正在使用以下 iptables 规则将 3389 转发到我的服务器上运行的 QEMU VM 实例：

iptables -A FORWARD -p tcp --dport 3389 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 3389 -j DNAT --to-destination 192.168.1.2

它们按预期工作，但在切换到 firewalld 后，我无法将此端口转发到指定的 VM IP

已经尝试过以下防火墙规则，但没有运气：

firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 1 -p tcp --dport 3389 -j ACCEPT
firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 1 -p tcp --dport 3389 -j DNAT --to-destination 192.168.1.2

还在下面尝试过：

firewall-cmd --permanent --add-port 3389
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" port protocol="tcp" port="3389" accept"
firewall-cmd --permanent --zone=public --add-forward-port=port=3389:proto=tcp:toport=3389:toaddr=192.168.1.2

还设置了 net.ipv4.ip_forward = 1，但没有区别

我想它与多个接口有关 我的 WAN 是 enp130s0f0，QEMU 网络是 virbr0