добрый человек, спасибо большое за подсказку.
но заработало все только тогда, когда я, действуя методом тыка, создал на каждого клиента по 2 правила проброса портов, один с интерфейса wlan0, другой с интерфейса lan0. почему так произошло неясно, но будем с этим жить)