Servus,
deine Regel #7 im zweiten Bild verstehe ich nicht, die IP dort hat nichts mit deinen Configs weiter unten zu tun …
Aber das nur am Rande. Nimm einfach bei Regel #4 die Ziel-Port Range raus, funktioniert es. Debian nimmt anscheinend Quell-Ports für TCP Verbindungen die nicht „most Linux Kernels“ entsprechen.
So ein source Port fällt ja nicht vom Himmel, er muss vom Kernel für jede Verbindung selektiert werden. Wie das passiert und nach welchen (losen) Regeln ist abhängig von der Implementierung im jeweiligen TCP/IP-Stack (heutzutage meistens im Kernel).
Das Zauberwort dazu heißt „ephemeral port“: