Даю одно единственное правило:
iptables -t NAT -A PREROUTING -i INET_IFACE -p tcp -d INET_ADDR --dport 8080 -j DNAT --to-destination 192.168.1.50:80
- не работает (пакеты извне не доходят до внутреннего www)
Если дать другое правило:
iptables -t NAT -A PREROUTING -i LAN_IFACE -p tcp -d LAN_ADDR --dport 8080 -j DNAT --to-destination 192.168.1.50:80
(то есть просто редиректить пакеты внутри локалки) то тоже не работает, но в логах по цепочкам видно, что пакет меняется - скажем был src=192.168.1.112 dst=LAN_IFACE:8080, стал src=LAN_IFACE dst=192.168.1.50:80
tcpdump на 192.168.1.50 показывает, что никаких пакетов от LAN_IFACE к нему не приходило

SNAT работает прекрасно, REDIRECT тоже

Все модули присутствуют, default policy везде ACCEPT, форвардинг пакетов включен
Где теряются пакеты?
Спасибо, Дмитрий