Перенаправление портов через iptables дает статус filtered

В правильности твоих правил не разбирался, но в целом, в iptables важна очерёдность правил, т.е. пакет обрабатывается первым подходящим правилом в цепочке и до нижестоящих правил уже не доходит.

iptables -S -t nat

выдало:

-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-A PREROUTING -d 10.8.0.5/32 -p tcp -j DNAT --to-destination 192.168.2.152
-A POSTROUTING -d 192.168.2.152/32 -p tcp -m tcp --sport 22 -j SNAT --to-source 10.8.0.5

FORWARD просто не должен запрещать. У тебя --to-source, навеное, что-то типа 192.168.2.1 должно быть.

Что бы вам не заморачиваться, можно вот так
iptables -t nat -A POSTROUTING -p tcp --dst 192.168.2.152 -j MASQUERADE
Но если очень хочется -j SNAT --to-source $IP, то $IP должен быть адресом локального интерфейса с которого уходят пакеты на 192.168.2.152

ЗЫ
В большинстве случаев применения разницы между этими правилами никакой.

Выглядит странно:

iptables -t nat -A POSTROUTING -p tcp --dst 192.168.2.152 -j SNAT --to-source 10.8.0.5

зачем для устройства в локальной сети делать src-адрес не из локальной сети? Если на нём и так маршрут по умолчанию через этот шлюз, что SNAT вобще не нужен, а если нет, то на этом устройстве потребуется прописывать маршрут к 10.8.0.5.

1. Распишите сетевую конфигурацию - все интерфейсы и адреса.

2. В цепочке PREROUTING указывайте опцию "-i", а в POSTROUTING - "-o".

Ещё важный момент - тот комп, где этот иптаблес, должен быть маршрутом по умолчанию для .152 ну или быть маршрутом для той сети, откуда приходит запрос.

Всм? Роутером или иметь эти значение ip?

Ну роутером, например. Или должен быть маршрут на этом компе, чтобы через него шёл.

Достаточно что бы он мог достучаться до 192.168.2.152. Большего не надо, для этого и snat-тим.

А во втором правиле разве не -s 192.168.2.152 нужно? Мне кажется что С него идут пакеты, а не НА него. У вас --dst