add NAT/masquerading step