Маскарадинг наоборот

можно глянуть на всяческие port forwarder-ы, почитай ip-masuerade-howto

Двойной НАТ тебе поможет.
На шлюзе: DNAT -> SNAT
Тогда с почтовым сервером будет обшаться шлюз (с точки зрения адресов). Недостаток: в логах почт.сервера будут только адреса шлюза.

На шлюзе поставить приёмный сервер, который всё будет отдавать внутреннему.

> На шлюзе поставить приёмный сервер, который всё будет отдавать внутреннему.

Нельзя.

> На шлюзе: DNAT -> SNAT

По-моему это не будет работать.

Пример:
IP_client -> IP_ext_gate -> IP_int_gate -> IP_server

Приходит пакет от клиента (IP_client->IP_ext_gate).
На шлюзе, с помощью S/DNAT, меняем src_ip на IP_int_gate и dst_ip на IP_server.
Теперь приходит ответный пакет от сервера (IP_server->IP_int_gate).
Тут тоже напрашивается S/DNAT, но откуда в этот момент мы будем знать, что первоначальный пакет был от IP_client, а не от IP_client1 или IP_client999? Т.е. какой адрес указывать в правиле DNAT для ответных пакетов?

> Тогда с почтовым сервером будет обшаться шлюз (с точки зрения адресов). Недостаток: в логах почт.сервера будут только адреса шлюза.

Это пофиг.

У меня работает, а у тебя не будет? :-)
Ты попробуй, а потом расскажешь.

iptables шлюза хранит информацию о измененных пакетах (упрощенно говоря) и для ОТВЕТНЫХ пакетов делает ДНАТ/СНАТ автоматом.
А по твоему рассуждению и просто НАТ не должен работать.

>Т.е. какой адрес указывать в правиле DNAT для ответных пакетов?
Никаких правил не надо. Достаточно 2-х (для СНАТ и ДНАТ соотв.)

iptables -A PREROUTING -t nat -p tcp -d Gate_Ext_IP --dport 25 -j DNAT --to-destination Mail_Server_IP

iptables -A POSTROUTING -t nat -p tcp -d Mail_Server_IP --dport 25 -j SNAT --to-source Gate_Int_IP

> т.к. шлюз по умолчанию у почтового сервера не указан и указан быть не может.

В смысле??? этот сервер что только локалку видит и все???

>> т.к. шлюз по умолчанию у почтового сервера не указан и указан быть не может.

> В смысле??? этот сервер что только локалку видит и все???

да.

Все верно. Небольшое дополнение. Последнее правило SNAT нужно только если локальные клиенты будут соединяться с Gate_Ext_IP. Ну и конечно, если iptables -P FORWARD DROP, то добавить разрешающие правила в FORWARD.

>> т.к. шлюз по умолчанию у почтового сервера не указан и указан быть не может.
Прошу прощения, просмотрел. Тогда SNAT тоже нужен, как указал sdio.