Банальный проброс портов

-j SNAT --to-source 10.10.10.10

Зачем эти SNAT'ы ?

Основная проблема: неправильные NAT'ы + маршрутизация

З.Ы. пиши на нормальном языке (русском или английском), а этот «кул-школота стайл» оставь для понтов перед пацанами.

Парень, не хотелось бы тебя разочаровывать, но 10.10.10.10 это не интернетовский адрес. Ты подключен к домашней сети своего провайдера и только он решает, кто сможет до тебя достучаться и по каким портам. С ним и разговаривай.

Прошу прощения, постараюсь писать соответсвенно. Я понимаю что маршрутизация неправильная, но мозгов не хватает на правильную. Я думаю что POSTROUTING .. SNAT .. нужен чтобы пакет от 1,254 переадресовать модему, так ведь?

Я знаю что 10,0,0,0/8 это приватный адрес и в интернете он не маршрутизируется, но ведь не писать же мне реальный внешний IP адрес, Я не зря написал что к внутреннему компьютеру 2,240 я подключаюсь извне, а к 1,254 - нет. Проблема именно в iptables, а точнее в мне

Тред не читал. Топик не читал.
Проброс портов = DNAT

Закажи у провайдера реальный IP и будет тебе щасте

Хорошо, я тебя понял. Получается, у тебя два шлюза и тебе надо через оба пробрасывать порты. Сначала через модем, потом через убунту.

Зачем вот эти правила на убунте:

iptables -t nat -A PREROUTING -p tcp -d 10.10.10.10 --dport 50000 -j DNAT --to-destination 192.168.1.240:3389
iptables -t nat -A PREROUTING -p tcp -d 10.10.10.10 --dport 50001 -j DNAT --to-destination 192.168.1.254:3389
iptables -t nat -A PREROUTING -p tcp -d 10.10.10.10 --dport 3389 -j DNAT --to-destination 192.168.1.254:3389

Убунта ничего не знает про 10.10.10.10 Может ты тут имел в виду что-то иное? Я что-то не могу понять, что эти правила должны были делать по твоей логике.

iptables -t nat -A POSTROUTING -p tcp --dst 192.168.1.240 --dport 3389 -j SNAT --to-source 10.10.10.10:50000
iptables -t nat -A POSTROUTING -p tcp --dst 192.168.1.254 --dport 3389 -j SNAT --to-source 10.10.10.10:50001

Совершенно не понятно, что это должно делать, но делает оно совершенно определенную вещь: херит пакеты. После такого фильтра твой сервер будет думать, что общается не с внешним миром, а со своим модемом. Ты этого хочешь добиться?

iptables -t nat -A PREROUTING -i eth3 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-port 3128

У тебя на убунте стоит веб-сервер или все же на 192.168.1.254?

По поводу второго вопроса. Без NAT ты в любом случае не выпустишь в инет комп с ip-адресом 192.168.1.100. А если тебе просто все фильтры отключить и гонять любой трафик с этой машины и обратно, то держи:

iptables -A FORWARD -s 192.168.1.100 -j ACCEPT

Остальное у тебя уже разрешено для этой машины.

Если я правильно понял, это надо переписать вот в таком виде:

iptables -t nat -A PREROUTING -p tcp -d 192.168.1.250 --dport 50000 -j DNAT --to-destination 192.168.1.240:3389
iptables -t nat -A PREROUTING -p tcp -d 192.168.1.250 --dport 50001 -j DNAT --to-destination 192.168.1.254:3389
iptables -t nat -A PREROUTING -p tcp -d 192.168.1.250 --dport 3389 -j DNAT --to-destination 192.168.1.254:3389

Вообще же лучше в этой схеме после проброса портов настроить модем в режим моста и подключаться к провайдеру напрямую с бубунты по PPPoE, два роутера тут ни к чему совершенно. После этого можно будет фильтровать не eth2, а, к примеру, ppp0.

плюсую мост.