Перенаправление всех пакетов на адрес, исключая подсеть

-s и указать локальную подсеть, которую нужно переправлять?

*nat
:PREROUTING ACCEPT [18:1075]
:INPUT ACCEPT [18:1075]
:OUTPUT ACCEPT [2:504]
:POSTROUTING ACCEPT [2:504]
:ALLOW - [0:0]
-A PREROUTING -p tcp -m tcp --dport 22 -j ALLOW
-A PREROUTING -p tcp -j DNAT --to-destination 10.8.0.2 
-A ALLOW -j ACCEPT
COMMIT

Создай свою цепочку и перенаправляй в неё запросы к нужным портам в обход правила с DNAT.

Это если у ТС там вообще не хитрая какая-то идея, а так, да, скорее всего -s хватит.

Ну либо он сам не понимает чего он хочет.

Почитал про -s. Это ведь source, так? То есть откуда приходят пакеты. А приходить они могут откуда угодно. Главное, чтобы те, кто приходят с 10.8.0.2 не отправлялись обратно.

Для сети

-A PREROUTING ! -s 10.8.0.0\24 -j DNAT --to-destination 10.8.0.2 

-A PREROUTING ! -s 10.8.0.2\32 -j DNAT --to-destination 10.8.0.2 

Ага, немного поменял правила но разобрался. Спасибо. Почему-то нигде не мог найти про !, хотя это по идее логично. В итоге прописал это:

iptables -t nat -A PREROUTING ! -s 10.8.0.2 -p tcp -j DNAT --to-destination 10.8.0.2
iptables -t nat -A PREROUTING ! -s $external_vpn_client_ip -p udp -j DNAT --to-destination 10.8.0.2

«10.8.0.0\24»

Никогда Штирлиц не был так близко к провалу

Зачем отдельное правило на udp?

Если убрать -p tcp и -p udp, то можно оставить одно правило и оно будет работать и для tcp и для udp пакетов.

Отдельное правило, потому что чтобы создать тоннель от клиента до сервера клиент подключается по udp к внешнему ip. То есть с точки зрения сервера некий 94.177.100.100 посылает ему пакеты. Если не прописать

iptables -t nat -A PREROUTING ! -s 94.177.100.100 -p udp -j DNAT --to-destination 10.8.0.2

то он просто будет пересылать эти пакеты в тоннель которого еще не существует.

IMHO проще делать исключения через -j ACCEPT

iptables -t nat -A PREROUTING -s 10.8.0.2 -j ACCEPT
iptables -t nat -A PREROUTING -s $external_vpn_client_ip -j ACCEPT
iptables -t nat -A PREROUTING -j DNAT --to-destination 10.8.0.2

Для исключения своих адресов можно воспользоваться "-m addrtype --src-type LOCAL"

iptables -t nat -A PREROUTING -m addrtype --src-type LOCAL -j ACCEPT
iptables -t nat -A PREROUTING -j DNAT --to-destination 10.8.0.2

ACCEPT будет работать в таблице NAT?

! -s 10.8.0.2

Да.

Указывай параметр -i. Это интерфейс на который пришел пакет.