Да вроде там все очевидно делается. В правилах трафика делаете правило, где указываете источником то откуда будут идти запросы (обычно это сетевой интерфейс), назначением указываете Брандмауэр или отдельный сетевой интерфейс (если она у вас отдельно идет) в службах указываете порт 3389. и доступ разрешить - все.
Если нужно на какой то контретный ИП перенаправлять то в том же правиле указываете Трансляцию и порт.
А так для ясности не помешал бы скрин сетевых и маршрутизации в керио как настроено.
