Нашёл хитрый косяк в купленном router-е D-Link DIR-819.
Они неправильно переписывают TCP пакеты для проброса портов (port forwarding) и виртуального сервера (virtual server).
Все входящие соединения показывает с адресом своего внешнего интерфейса, а не реальным в интернете.
Case ID is C6746783