我有一台 Cisco 1921，我想允许一个 WAN IP 号码（我们称之为 1.2.3.4）访问 LAN 上的服务器。我的 WAN 接口是 GigabitEthernet0/0，我的 LAN 接口是 GigabitEthernet0/1。我现在有一个同时应用于入站 GigabitEthernet0/0 和出站 GigabitEthernet0/1 的访问列表，这里是这个：

10 permit udp host 8.8.8.8 eq domain any
20 permit udp host NTPIP eq ntp host ciscoIP eq ntp
25 permit tcp host 1.2.3.4 eq 3389 host 192.168.31.9 eq 3389
26 permit udp host 1.2.3.4 eq 3389 host 192.168.31.9 eq 3389
28 deny udp any any eq 3389
29 deny tcp any any eq 3389
30 permit ip any any

使用此访问列表，我无法使 RDP 连接正常工作，但是如果我将该访问列表替换为10 permit ip any any在入站接口 GigabitEthernet0/0 上只有一行的访问列表，则 RDP 工作正常，这意味着我必须设置 NAT 端口转发正确吗？

据我所知，第 25 行和第 26 行应该允许 1.2.3.4 访问端口 3389，而第 28 行和第 29 行应该禁止所有其他 IP。那么我哪里出错了？