Конфигурация Fedora 20 NAT с firewalld

Я пытаюсь создать простой маскарадный шлюз, который будет мостом между внутренней сетью на ens33 (192.168.1.0/24) и частной сети на ens37 (10.0.1.0/24). Это образ VMWare с двумя отдельными сетевыми интерфейсами, оба в "мостовом" режиме к сети.

вторая виртуальная машина настроена в сети 10.0.1.0 / 24 с уникальным IP и может подключаться к шлюзу. Это не может соединиться через шлюз, это не обрабатывается правильно.

Fedora firewalld документация не очень понятно, как вы должны использовать зоны для построения маршрутизатора NAT.

моя интерпретация, которая не работает, заключается в том, что внешний интерфейс должен быть в зоне "внешний", а внутренний должен быть "доверенным", если вы хотите, чтобы он был широко открыт.

конфигурация выглядит примерно так:

# firewall-cmd --get-active-zones
external
  interfaces: ens33
trusted
  interfaces: ens37

я включил переадресацию сети с помощью sysctl:

# sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1

все я ищу маскарадное правило для запуска и NAT трафика в сети 10.0.1.0 / 24.