iptables - DNAT problem

Настраиваю раутер Linksys WRT54G.

Есть внутреннй мост br0 с адресом 192.168.1.1 и ppp0 наружу 
(IP дается при дозвоне из пула 80.230.х.х). Внутри есть машина
192.168.1.100 на которой бегут Веб-сервер, DNS для тестов. Надо обеспечить лазание по Интернету изнутри и доступ к сервисам снаружи.
Написал правила, проблема в том, что при таком маскараде в логах сервера вместо адреса клиента - 192.168.1.1 а при другом (-s 192.168.1.0/24 или -o ppp0) - нет доступа к сервисам.
Где копать ?

iptables -A INPUT -m state --state INVALID -j DROP
iptables -A INPUT -p tcp -s ! 192.168.1.0/24 --dport 23 -j DROP
iptables -A INPUT -p tcp -s 192.168.1.0/24 -d 192.168.1.1 --dport 80 -j ACCEPT
iptables -A INPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -j DROP

iptables -A FORWARD -p icmp -j ACCEPT
iptables -A FORWARD -m state --state INVALID -j DROP
iptables -A FORWARD -d 192.168.1.100 -j ACCEPT
iptables -A FORWARD -s 192.168.1.100 -j ACCEPT
iptables -A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -j DROP

iptables -A PREROUTING -t nat -i ppp0 -p tcp --dport 53 -j DNAT --to 192.168.1.100
iptables -A PREROUTING -t nat -i ppp0 -p udp --dport 53 -j DNAT --to 192.168.1.100
iptables -A PREROUTING -t nat -i ppp0 -p tcp --dport 80 -j DNAT --to 192.168.1.100
iptables -A PREROUTING -t nat -i ppp0 -p tcp --dport 443 -j DNAT --to 192.168.1.100

iptables -A POSTROUTING -t nat -j MASQUERADE