Packetfilter rules affect outgoing only?

Im trying to understand how things are working here. Im used to writing my own iptables scripts...

Is there any way to open ports, on the outside card, directly to the astaro box? I see that you can use the NAT/Masquerade table to enable port forwarding or Masquerading. This works. I can setup rules in the packetfilter section. This appears to only affect outgoing data..?? Where, if any, is the location to open ports directly on the astaro box for administration (22 or 443)? Or is it more appropriate to port forward into the network and then bounce back to administer the box remotely?

Or is the packetfilter table for both incoming and outgoing stuff??

-chris