NAT нужно сотворить

Не совсем понятно что значит «эмулировать работу NAT».
Если для одного приложения, то намного проще использовать iptables -m owner, чем отлавливать по каким оно портам и протоколам лазит.

забыл добавить. UDP и один заранее известный порт

эмулировать не совсем верно ) но, не знаю как сказать, нужно чтобы снаружи это выглядело как обычный домашний юзер за суровым провайдерским натом. Это нужно чтобы между машинами тестировать UDP hole punching - обход nat, как это делают торрентокачалки и прочие p2p.

как обычный домашний юзер за суровым провайдерским натом

Ну тогда самый обычный SNAT. Суровые домашние провайдеры обычно делают все подефолту, лишь бы у клиента вконтакт и мордокнига открывалась. Все остальное их не волнует.

Лучше рассматривайте только ″Symmetric NAT″, как самый суровый и наиболее часто используемый.

Сделайте в INPUT для udp-пакетов DROP на NEW, а в POSTROUTING сделате SNAT. Причём для полноты картины можете сделать несколько SNAT правил с разными диапазонами портов и выбирать одно из правил через ″-m statistic --mode random″.