Softer

Стоит проверить цепочку forward, должно быть соответствующее разрешающее правило для "To Ports".
Если маршрут для конечного ПК будет не через указанный "статический ИП адрес провайдера" - нужно строить маршрутизацию от источника.
И на "том конце" естественно порт должны слушать :)

В цепочке FORWARD. Разрешить выбранным, после - всем запретить

Сталкивался с подобным, решил заданием нескольких правил NAT с именами интерфейсов вместо списка.

Как-то так - https://habr.com/post/313342/. Варианты 2xEthernet и 2xPPPoE так работают. Не думаю что с PPtP не взлетит :)

А вообще в простейшем варианте можно просто поставить 2 default route с разными метриками и если отвалится линк - заработает второй. Правда если отвалится не линк, а "внешний инет" у провайдера - такой вариант не сработает.