Что, если порты, проброшенные на машину X выбраны как исходящие на Y?

https://linux.die.net/man/8/iptables

--to-source ipaddr[-ipaddr][:port-port] which can specify a single new source IP address, an inclusive range of IP addresses, and optionally, a port range (which is only valid if the rule also specifies -p tcp or -p udp). If no port range is specified, then source ports below 512 will be mapped to other ports below 512: those between 512 and 1023 inclusive will be mapped to ports below 1024, and other ports will be mapped to 1024 or above. Where possible, no port alteration will occur.

Если порт уже используется в активной трансляции SNAT то будет использован другой порт.

То есть интернет на Y не будет работать хуже. Ясно, спасибо.

получит конечно. я даже больше скажу, пакет который придет ответом от вебсервера не пойдет через таблицу nat, так как для него уже будует соотв запись в conntrack

это совсем не обязательно. с одного порта роутер нат может хоть 100500 соединений сделать, все разрулит conntrack. главное чтобы у этих соединений был разный destination