Все очень просто: 2 интерфейса,один - внутренний, один - внешний. Все адреса "реальные". Надо закрыть от доступа снаружи все кроме нескольких служб на нескольких машинах внутри,ну и на самом сервере-маршрутизаторе оставить только SSH.
Можно просто подкинуть свой script, дальше сам разберусь, а то что-то я здесь c How-To встрял :(
