Port forward

А ACCEPT надо разве не 172.16.199.130?

Если этот DNAT тестируется в пределах локальной сети (т.е. telnet делается с тачилы из 172.16.199.0/24 или какая у вас там маска), то к этим правилам нужно добавить еще 2:
iptables -A FORWARD -s 172.16.199.130 -o eth2 -p tcp --sport 3128 -j ACCEPT (если нет общего правила разрешающего ESTABLISHED соединения)
iptables -t nat -A POSTROUTING -d 172.16.199.130 -p tcp --dport 3128 -j MASQUERADE

> iptables -t nat -A POSTROUTING -d 172.16.199.130 -p tcp --dport 3128 -j MASQUERADE

Зачем?

И вот это:

> iptables -A FORWARD -i eth2 -d 172.16.199.1 -p tcp --dport 3128 -j ACCEPT

Нафига оставлять?

Ага! Все равно не работает :-)

Все равно не работает. Вообще, это просто машина с песочницей (а не какой-то важный продакшн), а 172.16.199.130 - одна из виртуалок.

Смотри tcpdump -i eth2 уходят/возвращаются ли пакеты.

> У меня маразм?

Просто надо отдохнуть.. чайку попить что ли.

Стоп. А нафиг тебе -t nat -A PREROUTING и -A FORWARD если ты с этой же машины выходиш! Тебе скорее в OUTPUT! Или что-то путаю?

:)

насколько я понимаю все машины сидят в одной подсети?
и тебе нужно перебросить запросы на squid на другую машину?

если так, то
iptables -A FORWARD -i eth2 -d 172.16.199.130 -p tcp --dport 3128 -j ACCEPT

т.е. тут адрес машины, на которую идет форвард, после изменения ip в DNAT.

ну и надеюсь echo "1" > /proc/sys/net/ipv4/ip_forward