nat и и правила firewall

представим, что у нас есть три хоста А, Б и В. хост В является натом между хостами А и Б. на хосте А установлено правило брандмауэра, которое будет принимать запросы на энный порт только с айпи адреса хоста Б. если при отправке пакета с хоста Б, хост В подменяет его айпи адрес на свой айпи, видимый со стороны хоста А, то почему брандмауэр на хосте А все равно пропускает запросы, которые мы ему отправляем? локальные сети я тут опускаю. понятно, что правила фаерволла будут настроены по внешний айпишникам