iptables роутинг.

-A POSTROUTING -s 10.0.0.130 --sport 8443 --dport 443 -d XX.XX.XX.XX -j SNAT --to-source EXTERNAL_IP

--to-source EXTERNAL_IP

А это что такое?

это man iptables

ответный трафик от сервера, итак будет проходить обратный нат.
дополнительных правил не надо.

или речь идет о исходящих соединениях, инициируемых сервером с порта 8443 в интернет?

> Весь входящий трафик на 443 порт с адреса XX.XX.XX.XX заворачивается на 8443-й порт адреса 10.0.0.130

По-моему, тут ошибка в правиле. -d смени на -s

> По-моему, тут ошибка в правиле. -d смени на -s

А как же главное правило? Работает - не лезь!

Честно говоря, не я настраивал. Такой принял.

только нужно пропускать established трафик.
почитай внимательно man

Правило:

-A PREROUTING -p tcp -m tcp --dport 443 -d XX.XX.XX.XX -j DNAT --to-destination 10.0.0.130:8443

Не делает:

Весь входящий трафик на 443 порт __с адреса XX.XX.XX.XX__ заворачивается на 8443-й порт адреса 10.0.0.130

Это правило делает:

При обращении __на__ адрес XX.XX.XX.XX к tcp порту 443 соединение перенаправляется на 10.0.0.130 порт 8443

> А как же главное правило? Работает - не лезь!

Так оно не работает. Потом, это правило придумали те кто настраивать не умеют. Опыт показывает что лучше всё переделать до того как оно разрастётся, потом уже переделывать будет поздно.