iptables, nat

последнее правило не нужно. плюс убедись, что ip_forwarding включен.

cat /proc/sys/net/ipv4/ip_forward

должен отдавать еденицу. если нет - сделай

sysctl -w net.ipv4.ip_forward=1

-A PREROUTING -t nat -p tcp --dport 80 -j DNAT --to-destination $lan_ip:80
-A POSTROUTING -t nat -s $lan_ip --sport 80 -j SNAT --to-source $wan_ip:80

PS Хоть рекартинг портов обычно не происходит, но лучше перестраховаться.
PPS проверьте проверьте уепочки INPUT и OUTPUT

-p tcp

> последнее правило не нужно

Нужно. Там NAT наружу с кучи адресов и персонально по каждому адресу.

> пропускать существующие соединения тоже есть...

точно?

покажи как
iptables -L -v -n
iptables t nat -L -v -n

Всё, тухлая идея была изначально. Там шлюз другой прописан, менять нельзя.

DNAT + SNAT должны помочь

а сделать несколько таблиц маршрутизации?

а вобще iproute2 почитать?..

Блин, вот я дерево... Нужно было FORWARD, DNAT на внутренний и SNAT на адрес самого шлюза. Остальное iptables в обратную сторону сам "разворачивает".