«Проброс» порта с одного public ip на другой public ip средствами iptables?

Нет. Юзай TCP/UDP прокси, какой-нибудь balance или samplificator. Либо делай GRE туннель с одного на другой и нать в него.

Почему нет?
Обычный SNAT в iptables, разве нет?

iptables -t nat -A PREROUTING -p tcp --dport 54321 -j DNAT --to-destination 123.456.789.123:54321

Поспешил, нужно еще подмену адреса источника тоже делать, чтобы обратно пакеты шли через этот же сервер:

iptables -t nat -A POSTROUTING -p tcp -d 123.456.789.123 --dport 54321 -j MASQUERADE

Ну-ну, я посмотрю на реакцию шлюза через который этот сервер выходит в мир, когда к нему от твоего сервера прилетит НАТнутый пакет с адресом источника из соседней страны.

Даже если каким-то чудом этот пакет пройдёт все хопы и дойдёт до адресата, то ответный пакет, в соответствии с таблицой роутинга, пойдёт не через твой НАТящий сервер, а напрямую клиенту - ни один TCP коннект не установится, т.к. ты SYN посылал на адрес1, а SYNACK получил от адреса2.

В общем - или прокси или туннель.

Я второе сообщение для кого написал? Там меняется адрес источника тоже. Все должно быть нормально. Должно работать.

Вообще в первом сообщении я ошибся, там не SNAT, а DNAT.

правильнее всего это делать через l3 туннель с заменой адреса назначения. при правильной настройке роутинга на хосте получателя, адрес источника менять не придется. в других случаях специальная программка не сможет узнать адрес источника (если конечно он явно не передается на l7)

кажется, я понял.
на входящем на первый гейт пакете надо делать prerouting dnat, разрешить forward И на выходящем пакете сделать snat. Потому что если не сделать snat, ответный пакет от второго гейта пойдёт сразу к контрагенту, а контрагент не устанавливал соединения со вторым гейтом. Ответный пакет должен вернуться на первый гейт и уже тот должен ответить контрагенту. Надо опробовать.

Подними туннель.

а можно просто не геморроиться с двойными нат, а запустить что-то типа:

socat TCP-LISTEN:8080,fork TCP:remotehost:3000

эффект тот же будет

да какой там туннель... Нужен костыль на пару дней пока контрагент не перебьёт конфиг на своей стороне.

можно вот про это поподробнее?

данный пример слушает tcp порт 8080 и перенаправляет поступившие соединения на remotehost с портом 3000

для этого надо установить пакет socat

спасибо, не знал.