REDIRECT --to-недоступный-снаружи-port

Как-то непонятно зачем такое вообще может понадобиться.

Кто-нибудь знает, возможно это вообще или нет?

Дарагой, ты похоже читать не умеешь. Повторюсь «Как-то непонятно зачем такое вообще может понадобиться.»
У тебя есть конкретный порт 4000 на котором отвечает некая программа. Редиректы на этот порт только множат кол-во портов и ответы будут такими же как если бы обратились на порт 4000. В чем смысл Карл?

-P INPUT DROP

--state NEW --dport 4000 -j ACCEPT

Что, важны только ″NEW″ пакеты?

А на вопрос ответ — «Возможно». Закройте порт 4000 в таблице mangle.

Спасибо, направление понятно.

Что, важны только ″NEW″ пакеты?

В самых разных блогах и руководствах, здесь, например, рекомендуют открывать порты так:

iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Закрыл

iptables-t mangle -A PREROUTING -i venet0 -p tcp --dport 4000 -j DROP

Если это единственное правило:

iptables -A INPUT -m state --state NEW -p tcp --dport 80 -j ACCEPT

Я не понимаю зачем? Почему нельзя просто так:

iptables -A INPUT -p tcp --dport 80 -j ACCEPT

Если не нужно чего-то специфичного, то это как раз правильно.

Если не нужно чего-то специфичного, то это как раз правильно.

Беру на заметку