と、思って油断してたら、どうやら内側から外側のIPで内側のマシンにはアクセスできないのね。

ip napt service http 192.168.2.20 none tcp 8080

となっていて外のIPに ddns.example.com と名前が付いていたりした場合に、
内側のマシンから telnet ddns.example.com 8080 は通らない。。。 困った。