iptables завернуть внешний трафик через себя

Через xinetd не устроит?

ssh-туннель в два скачка

Через xinetd не устроит?

можно подробнее ?

ssh-туннель в два скачка

не совсем понял, объясни

Возможно socat поможет

это туннель проложенный через несколько хостов

http://serverfault.com/questions/287059/multiple-hops-tunnels-howto

Живой пример — пользователи локальной сетки и vpn (eth0 и tun*) стучатся по http по доступному им адресу 192.168.0.9:13812, где xinetd перехватывает соединение и инициализирует со своей стороны новое к реальному адресу http страницы 172.18.15.30:8080 в другой подсети.
192.168.0.0/24 -> 192.168.0.9:13812 -> 172.18.15.30:8080

[root@router ~]# cat /etc/xinetd.d/ipcam-relay-warsaw1
service ipcam-relay-warsaw1
{
wait = no
type = UNLISTED
user = root
port = 13812
bind = 192.168.0.9
redirect = 172.18.15.30 8080
socket_type = stream
protocol = tcp
disable = no
}
[root@router ~]# cat /etc/sysconfig/iptables | grep 13812
-A INPUT -i eth0 -p tcp -m tcp -m multiport --dports 13812,13813,13815,13816 -j ACCEPT
-A INPUT -i tun+ -p tcp -m tcp -m multiport --dports 13812,13813,13815,13816 -j ACCEPT

А может в iptables разобраться? Не?

да, так наверно и нужно, буду пробовать

DNAT & SNAT одновременно нельзя.

да, идею понял

да, как я понял мне нужно иное решение

да, так получилось, спасибо
остальные варианты буду иметь ввиду на будущее