Iptables натит 500 порт в привилегированный диапазон — как исправить?

Проверяю работу L2TP/IPsec VPN изнутри сети на файрволле через tcpdump и вижу, что стартовые пакеты UDP инкапсуляции почему-то затеяли уходить со странным портом (48). Ничего не менял (с), через пару минут тот же клиент натился уже в совпадающий порт (может, было ещё соединение изнутри?) и IPsec over NAT-T успешно построился. Вопрос - как можно заставить iptables натить привилегированный диапазон портов в обычный, чтобы не было проблем с несколькими VPN-клиентами за одним файрволлом? NAT-правило как по учебнику для статического IP:

iptables -t nat -A POSTROUTING -s 10.x.x.0/24 -o eth1 -j SNAT --to-source yy.yy.yy.yy