lighttpd, подмена ip

iptables-ом, разве, нельзя тупо порт пробросить?

[lamer] Можно, но как вообще такое возможно?

Разве же iptables -A FORWARD -i eth1 -o eth1 -j REJECT не запрещает нат во внутреннюю подсеть?

Ну хотя-бы как-то так:
iptables -A PREROUTING -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.1:80

Ну, а если я вообще хочу запретить нат из внешней сетки в 192.168.0.*?

ну тада ставить lighttpd на роутер (если конечно можно, хотя бред а не решение), пусть слушает внешний интерфейс, и делать прокси на тот, что уже внутри сетки.
Лучше днат.

В общем-то, да, это будет правильнее :)

Ну так поставь своё правило выше, какие проблемы-то?

либо +1, либо не понял суть вопроса в принципе...