iptables -t nat -A PREROUTING -p tcp -m multiport --dport 8080,3306 -j DNAT --to-destination 192.168.0.1
iptables -t nat -A POSTROUTING -d 192.168.0.1 -j MASQUERADE

это в общем случае
а вообще надо смотреть что там нагорожено
и желательно понимать как работает iptables

[quote=McClaud]
Как видно что айпи в данном случае указывается главной машины. А разве мне не надо указать айпи той машины на которую мне надо открыть порты?
[/quote]
Пример (у меня правда маршрутизатором дома работает)
# FORWARD Torrent
$IPTABLES -t nat -A PREROUTING -p tcp -d $STATIC_IP --dport 14007 -j DNAT --to-destination $FRWR_HOST:14077

Пробрасываю трафик tcp с порта 14007 приходящий на $STATIC_IP на тот же порт $FRWR_HOST.
В случае примера WhiteDragon'а в --to-destination и маскарадинг натравливаешь адрес той машины, которую пробрасываешь.

[quote=McClaud]Да, и как откатать эти правила (на тот случай когда не понадобится)
[/quote]

можно до применения iptables-save в файл, а потом iptables-restore для востановления из файла

у меня вообще скрипт /etc/rc.d/rc.firewall перед правилами делает сброс

# Clear ALL rules
$IPTABLES -F
$IPTABLES -X
$IPTABLES -t nat -F

З.Ы. Артур, лучше настрой нормально роутером сервак. Потом гемора меньше, можешь поверить. Том более настраивается двумя командами :)

iptables - это вообще набор модулей ядра, и, на сколько я в курсе, в дебиане по дефолту все это есть (я вообще пару раз только видел ядро без iptables)
у модуля ядра конфига на винте быть просто не может
для общения с модулем используется утилита iptables из одноименного пакета
и с ней уже идут скрипты (у каждого дистра свои), которые уже могут при старте взять правила из какой-ть конфиги и засыпать их в модуль
вот эти rc.firewall - это все старое наследие слаки, и рисовать их по древним хавтушкам крайне не рекомендую
гораздо лучше разобраться с логикой которую предложил дистрибутив

у меня нет дебианов под руками, и я с ними с той стороны не возился - не скажу как там
в федоре (и в большенстве редхат-базед дистров) это так:
строишь правила напрямик коммандой iptables (есть конечно гуи/туи всякие - но они не дают и половины того что мне бывает надо)
удовлетворившись результатом говоришь просто service iptables save (или /etc/init.d/iptables save)
оно сохраняет текущие правила в /etc/sysconfig/iptables (посути просто iptables-save >/etc/sysconfig/iptables, только с рюшечками :))
для всасывания обратно использует iptables-restore </etc/sysconfig/iptables (опятьже с рюшечками :))