iptables

Как всегда - стоит задать вопрос - решение находится.

iptables -t nat -A PREROUTING -p tcp -d host1 --dport port1 -j DNAT --to-destination host2:port2

Да, и не забыть в цепочке FORWARD (если она DROP, а как иначе):

iptables -I FORWARD -m conntrack --ctstate DNAT -j ACCEPT

Разрешать для каждого хоста моветон :)