iptables log

/sbin/iptables -t filter -A INPUT -j LOG --log-prefix "La-la-la: "
смотреть в /var/log/firewall

вот такие таблицы (напр. -t filter) и цепочки (напр. -A INPUT) 
есть по-умолчанию:

               ([ NET ])
                   |
           (mangle)(PREROUTING)
                   |
            (nat)(PREROUTING)
                   |
                  /-\
          ---<<---   --->>---
         /                   \
 (mangle)(INPUT)     (mangle)(FORWARD)
        |                    |
 (filter)(INPUT)     (filter)(FORWARD)
        |                    |
 [ local process ]           |
        |                    |
 (mangle)(OUTPUT)            |
        |                    |
 (nat)(OUTPUT)               |
        |                    |
 (filter)(OUTPUT)            |
        |                    |
         \--->>---   ---<<---/
                  \-/
                   |
           (mangle)(POSTROUTING)
                   |
            (nat)(POSTROUTING)
                   |
               ([ NET ])

разрешаем маршрутизацию
echo 1 > /proc/sys/net/ipv4/ip_forward

поднимаем перекидывание пакетов на интерфейс ppp0 (маскарадинг
удобен если адрес поднимаемый динамический, но требует больше
ресурсов):

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

или, если айпишник статический, то вот куча примеров:

iptables -t nat -A POSTROUTING -s ip_которые_ты_хочешь_спрятать_за_nat -o $INET_IFACE -j SNAT --to-source $INET_IP

iptables -A POSTROUTING -t nat -o eth0 -j SNAT --to-source 192.168.128.41

iptables -t nat -A POSTROUTING -s x.x.x.x/YY -d $WEB_SERVER -p tcp --dport 80 -j SNAT --to-source $INET_IP


вот эти наверно пригодятся:

iptables -t nat -A PREROUTING -p tcp -d 192.168.0.20 --dport 800 -j DNAT --to-destination 192.168.1.1:443

iptables -t nat -A POSTROUTING -p tcp -s 192.168.0.0/24 -d 192.168.1.1 --dport 443 -j SNAT --to-source 192.168.1.2