vyos有两个网卡，分别是eth0和eth1，IP分别是10.1.1.175和10.222.222.1（掩码都是/24），分别用于连接外网和内网。
需求：映射10.1.1.175的3389到10.222.222.222的3389。
指定映射目标地址
set nat destination rule 100 destination address 10.1.1.175
指定目标端口
set nat destination rule 100 destination port 3389
指定内网接口
set nat destination rule 100 inbound-interface eth0
指定协议类型
set nat destination rule 100 protocol tcp
指定目标地址
set nat destination rule 100 translation address 10.222.222.222
指定目标端口
set nat destination rule 100 translation port 3389
提交并保存
commit
save
至此全部完成。
ds-nat的方向与src-nat相反，所以inbound-interface需要指定eth0，即上联口。如果指定内网接口eth1，则不能建立远程桌面连接。
如果不需要某条ds-nat，可用delete nat destination rule 100删除之。已经建立的连接不会随规则删除而被断开，即使删除后执行commit命令。
下面是配置信息
vyos@vyos# show nat destination rule 100
destination {
address 10.1.1.175
port 3389
}
inbound-interface eth0
protocol tcp_udp
translation {
address 10.222.222.222
port 3389
}