DNAT siempre se hace antes del encaminamiento, cuando el paquete entra por el cable.