Здравствуйте. Имеется три вопроса.

Первый вопрос:
У меня имеется домашний сервер, который находится за NAT.
Есть VDS сервер с внешним IP адресом (123.123.123.123).
Стоит WireGuard туннель между серверами. VDS сервер имеет IP 10.66.66.1 а домашний сервер 10.66.66.2
Хочу спросить, правильно ли я настроил iptables чтобы при обращении на внешний ip трафик свободно ходил к серверу за NAT туда и обратно? Или нужно что-то добавить?

Использую такие правила:
iptables -t nat -A PREROUTING -d 123.123.123.123 -p tcp -m multiport –dports 1338,8083,80,443,3306 -j DNAT –to-dest 10.66.66.2
iptables -t nat -A PREROUTING -d 123.123.123.123 -p udp -m multiport –dports 1338,8083,80,443,3306 -j DNAT –to-dest 10.66.66.2
iptables -t nat -A POSTROUTING -s 10.66.66.2 -j MASQUERADE

Правда почему-то MASQUERADE в итоге прописано два, убрать возможно какой нужно?
root@vds:~# iptables -t nat -L POSTROUTING –line-numbers Chain POSTROUTING (policy ACCEPT)
num target prot opt source destination
1 MASQUERADE all – 10.66.66.2 anywhere
2 MASQUERADE all – anywhere anywhere

Второй вопрос:
На домашнем сервере стоит веб сервер (HestiaCP) и когда клиент заходит на сайт его IP определяется как 10.66.66.2, что я сделал не так?
Что возможно поменять, чтобы отображался именно IP клиента?

Третий вопрос:
Читал в интернете, что нужно добавлять еще такие правила:
iptables -t nat -A POSTROUTING -s 10.66.66.2 -p tcp -m multiport –sports 1338,8083,80,443,3306 -j SNAT –to-source 123.123.123.123
iptables -t nat -A POSTROUTING -s 10.66.66.2 -p udp -m multiport –sports 1338,8083,80,443,3306 -j SNAT –to-source 123.123.123.123
Их так же нужно добавлять или нет? Так как к примеру в проблеме с получением IP адреса клиента они мне не помогли.
Буду благодарен за ответы.