Примерный синтаксис(за опечатки не ручаюсь, пишу по памяти, man iptables в помощь):

iptables -t nat -A PREROUTING -d 31.31.31.31 -p tcp --dport 8888 -j DNAT --to-destination 41.41.41.41:3389
iptables -I FORWARD 1 -m conntrack --ctstate RELATED,ESTABLISHED,DNAT -j ACCEPT

Ну и +

iptables -P INPUT DROP
iptables -A INPUT -p all -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i $WAN -p tcp --dport 22 -j ACCEPT

Не получается

iptables -t nat -A PREROUTING -p tcp --dport 8888 -j DNAT --to-destination 41.41.41.41:3389

iptables -t filter -A FORWARD -d 41.41.41.41:3389 -p tcp --dport 8888 -j ACCEPT

iptables -t nat -A POSTROUTING -j MASQUERADE sysctl -w net.ipv4.ip_forward=1

Прописал вот так, не заработало

tcpdump -i any -nn port 3389 or port 8888 с сервера

Примерный синтаксис(за опечатки не ручаюсь, пишу по памяти, man iptables в помощь):

Весь Инет забит этими парустрочиями, которые друг у друга копируют без понимания, что оно так заработает если 41.41.41.41 - серый адрес уже за поднятым NAT. Если это белый адрес, в Инете или даже в другой белой сети на этом маршрутизаторе, то работать не будет, так как машина 41.41.41.41 будет получать пакеты с адреса клиента на свой (DNAT), и отправлять будет на клиента, который ожидает адрес не 41, а 31, то есть нужен дополнительно маскарад/snat.

Да и вообще. Ну и зачем тут вообще iptables? Соединяйтесь по ssh -L, а rdp уже на localhost на своей машине.

то есть нужен дополнительно маскарад/snat.

ТС это учел, если ты внимательно посмотришь

ТС это учел, если ты внимательно посмотришь

Я отвечал на ваш комментарий. ТС и скопировал откуда-то решение. если у него разрешение INPUT на 8888 порт? Да фиг его знает :)

Короче:

Поменяйте:

iptables -t filter -A FORWARD -d 41.41.41.41:3389 -p tcp --dport 8888 -j ACCEPT

на

iptables -t filter -A FORWARD -d 41.41.41.41 -p tcp --dport 3389 -j ACCEPT