SNAT не изменяет адрес

Вы уверены что он не меняется, как проверяли?

Ну сходу можно сказать, что во втором правиле вместо -d --dport логичнее выглядят -s --sport (хотя толку от изменения все равно быть не должно).
У меня ощущение, что ты неправильно делаешь не то, что надо. Вряд ли тебя обрадует результат, когда ты начнешь делать то, что не надо, правильным способом.
Опиши задачу.

Да, уверен. По логам sshd в /var/log/auth.log

Может это из-за того, что адрес 192.168.1.2 несуществующий и tap0 тоже виртуальный? :) Я просто в iptables не очень силен, не могу сообразить из-за чего оно может не меняться...

user [internet] -> 7.7.7.7:22 --[192.168.1.2]--> 192.168.1.1:2000

То есть на 192.168.1.1 надо получать соединения, словно они пришли из этой же подсети.

Нет дело не в этом, дело в том что если это трафик приходящий на хост, то трафик не проходит через цепочку POSTROUTING. попробуйте в таблице mangle source поменять.
http://www.faqs.org/docs/iptables/traversingoftables.html

Второе правило:

iptables -t nat -A INPUT -s <критерий_адреса_внешнего_клиента> -p tcp -d 192.168.1.1 --dport 2000 -j SNAT --to-source 192.168.1.2

Вроде так.

В INPUT snat/dnat не работает.

А ты картиночку глянь, она проясняет. В ФАКе, что человек выше привел, картиночка более мутная, а эта хорошая (ну а при желании можно и получше нагуглить).
http://linux-ip.net/nf/nfk-traversal.png
Теперь ты понимаешь, что в том месте, в которое ты пихаешь второе правило, оно сработать не может, а если даже поменять критерии и заставить его сработать, то получишь черт знает что - локальный адрес источника в пакете, улетающем в интернет.

Правда?)

Ну ты у себя на localhost проверил бы ...

Ну ты у себя на localhost проверил бы ...

Кстати, да, про INPUT и snat/dnat похоже на правду. :)

В mangle source тоже никак не изменить как я понимаю.

Теперь ты понимаешь, что в том месте, в которое ты пихаешь второе правило, оно сработать не может, а если даже поменять критерии и заставить его сработать, то получишь черт знает что - локальный адрес источника в пакете, улетающем в интернет.

Да, теперь более менее ясно... Но все равно мне как-то с первого взгляда трудно воспринять эту схему. И поэтому я теперь не представляю где же source менять.

А ты прав...

А то!)
Ну ты тоже, наполовину. DNAT не работает, конечно.

С INPUT у меня выдает: iptables: No chain/target/match by that name. Да и по мануалу смотрю, для таблицы nat нет INPUT.

У тебя что-то редхатовое, что ли? Или еще какая-то стабильнота?

Debian Squeeze. ;)

Ну тогда ой. Тебе надо либо более новое ядро с иптаблесами тащить из бэкпортов или тестинга, либо фиг его знает. В существующем положении задача выглядит нерешаемой.

А у вас с новым iptables все работает? Клево, если да... Да, тогда посмотрю в сторону нового iptables. Спасибо вам всем.

Да, работает. Демон принимает интернетовского клиента за клиента из локалки, netstat показывает клиента из локалки. все красиво.
Не за что.