Как при DNATе заменить еще и source ip?

iptables -t nat -A PREROUINTG -d 1.1.1.1 -j DNAT --to-destination 2.2.2.2:12345 iptables -t nat -A POSTROUTING -d 2.2.2.2 -dport 12345 -j SNAT --to-source 3.3.3.3

Ну короче смысл в том, что пакет у тебя так и так пройдёт 2 цепочки DNAT и SNAT. В первом проходе меняй destination, во втором делаеш match на подставленый destination и менешь source. Как то так. Можно более изящно, с использованием mark.

DNAT делается в цепочке PREROUTING, SNAT - POSTROUTING. В чем проблема? Не, проблемы я предвижу, но пока они не озвучены. Логично создать два правила в этих цепочках.

Спасибо большое благодаря вашим подсказкам все решилось.
Проблема была в том, что я пытался решить вопрос в одним правилом :)