Iptables перекидывание порта/подмена источника/цели

Народ. помогите разобраться с iptables.

Есть десяток компов. До сих пор эти компы были по openVPN в общей локалке и заморачиваться с доступом к ним небыло смысла. Ко всем службам доступ был прямой.

Однако сейчас рутовый шелл передается другим людям. И нужно из соображений секурности все намеки на VPN удалить.

Доступ к нужным портам сейчас происходит через ssh -L :
:127.0.0.1: -L ... через ссервак.

Осталось только сбор логов настроить.

До этого все компы стучались напрямую на сервак через vpn. Сервак же разруливал - какие логи куда ложить.

Решил действовать по аналогии со службами на хостах, перекинуть все через ssh командой

ssh host$N -R 127.0.0.1:514:127.0.0.1:514 -L ....
А на сервере слушать syslog-ng-ом 127.0.0.1:514. Получилось не так как хотелось бы. Логи собираются. Но syslog-ng определяет host по ip-адресу с которого льются логи. А поскольку все логи льются с localhost - получилась полная каша.

Тогда решил сделать по-другому. Вешать каждый хост на свой отдельный порт на localhost на сервере.

ssh host$N -R 127.0.0.1:514:127.0.0.1:$((500+$N)) -L ....

И уже на сервере при помощи iptables скармливать syslog-у якобы с разных IP.

Кто-нибудь может обьяснить как правильно это надо было делать?
Брожения по вики и howto-шкам привели к следующему(не работающему) варианту

#!/bin/bash

IPTABLES=`which iptables`
iptables(){
        echo "iptables $*"
        $IPTABLES $*
}
echo "Маркируем входящие пакеты на порты 501-510"
for m in $(seq 1 10); do
        echo "================="
        iptables -t mangle -A OUTPUT -s 127.0.0.1 -d 127.0.0.1 -p tcp --dport $((500+$m)) -j MARK --set-mark $((64+$m))
        echo "---"
        #echo "этим же пакетам и переделываем источник"
        iptables -t nat -A POSTROUTING -m mark --mark $((64+$m)) -j SNAT -p tcp --to-source 10.100.100.${m}
        echo "================="
        #echo "Маркируем исходящие пакеты от syslog-ng"
        iptables -t mangle -A OUTPUT -s 10.100.100.1 -p tcp --sport 514 -d 10.100.100.$((30+$m)) -j MARK --set-mark $((96+$m))
        echo "---"
        #echo "этим же пакетам и переделываем src и sport"
        iptables -t nat -A POSTROUTING -m mark --mark $((96+$m)) -j SNAT -p tcp --to-source 127.0.0.1:$((501+$m))
done
echo "================="
echo "Теперь всем ЭТИМ пакетам (с меткой 0-31) меняем dst"
iptables -t nat -A PREROUTING -m mark --mark 64/$(( 0xffff - 31 )) -j DNAT -p tcp --to-destination 10.100.100.1:514
echo "================="
echo "меняем пакетам идущим от syslog dst на 127.0.0.1"
iptables -t nat -A PREROUTING -m mark --mark 96/$(( 0xffff - 31 )) -j DNAT -p tcp --to-destination 127.0.0.1

Судя по тому что выдает lsof, и отсутствии следов в логах, проблема в возврате пакетов от syslog и обратном преобразовании ИП в 127.0.0.1 с привязкой по портам