IPTABLES

И в чём именно проблема?

как это осуществить?

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A FORWARD -p tcp -d адрес-ноута --dport YYYY -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport XXXX -j REDIRECT --to-destination адрес-ноута:YYYY
iptables -t nat -A POSTROUTING -p tcp -d адрес-ноута --dport YYYY -j MASQUERADE

Писал по памяти, где-то могут быть ошибки.

наверное, проще и стабильнее в этом случае использовать ssh-проброс порта

Спорно. Кому как удобнее. Если временно, ssh, возможно, будет удобнее. Если постоянно, то лучше iptables. По поводу стабильности - не понял, чем ssh стабильнее.

Много хлама. 1, 2 и 4 правила у него уже есть. (4-е ты чушь написал).

ТС достаточно:

iptables -t nat -A PREROUTING -p tcp --dport XXXX -j DNAT --to-destination адрес-ноута:YYYY

у него динамически назначаемый ip адрес, ssh проброс тупо удобнее рулить

Нет, не достаточно, хлам в твоей голове, сети бывают чуть сложнее домашней локалки с единственным роутером, являющимся шлюзом по умолчанию. Если у него VPN сервер не является шлюзом по умолчанию, твоё единственное правило работать не будет.

у него динамически назначаемый ip адрес

У него VPN.

без разницы. SSH-туннель безотказнее автомата Калашникова, проверено практикой.

Ещё раз. У него VPN до сервера, которым он рулит. Ему ничего не мешает сделать для себя в этом VPN статический адрес.

Уровни инкапсуляции посчитай. Тебе не кажется, что твоё решение, мягко говоря, через жопу?

И, конечно, DNAT, а не REDIRECT, здесь моя ошибка. В остальном, у меня всё верно.

Если временное/для дебага, то ssh наверное правильнее. На сервере трогать ничего не надо, достаточно чтобы был разрешен форвардинг портов ssh. Набрал командочку с ноута и пошел работать...

Правда, если этот порт кто-то (какой-либо процесс) слушает на сервере, то скорее всего ssh не сможет забиндиться на него, а DNAT должен работать, если я все правильно понимаю, если не прав, поправьте плиз.