Das ist richtig. Für Ping (ICMP) gibt es keine Konfigurationsmöglichkeit für eine Portweiterleitung (da ICMP ja keine Ports verwendet). Was möglich wäre ist mit tcptraceroute, bzw. traceroute -T -p 23 zu testen ob die Weiterleitung richtig funktioniert.
Wenn eine DMZ in der Internetbox konfiguriert wird, dann werden offenbar auch ICMP Echo Packete an den LAN Host, welcher als DMZ Ziel konfiguriert wurde, weitergeleitet. Das ist aber noch viel weniger sicher als Portweiterleitung für Telnet sowieso schon. Der DMZ Host muss sich selber optimal gegen Angriffe aus dem Internet schützen.
Die Verwendung der VPN-Option wäre definitiv die richtige Wahl oder wenigstens Einsatz von SSH, vorzugsweise mit Username und Key (nicht Username und Passwort), eventuell auch mit einem SSH Server, der auf einem unprivilegierten Port (>1024) auf eingehende Verbindungen hört.