Provavelmente é mais fácil descrever o que está acontecendo com um exemplo.
Digamos que o endereço IP dos seus roteadores NAT seja 1.1.1.1 e o endereço IP de seus amigos seja 2.2.2.2 Vamos supor que o seu amigo não esteja atrás de um roteador nat (torna o exemplo um pouco mais complicado se eles são, mas não muda fundamentalmente o problema.Eu também supor que a porta para a frente está aportando a porta 80 em seu IP externo para a porta 80 na caixa Debian.
O computador do seu amigo envia um pacote syn com um endereço de origem 2.2.2.2, uma porta de origem escolhida aleatoriamente (digamos 12345), um endereço de destino de 1.1.1.1 uma porta de destino de 80
O pacote chega ao seu NAT, ele procura a porta para frente e altera o IP de destino para 192.168.1.210. O IP de origem permanece como 2.2.2.2, as portas permanecem as mesmas. Um mapeamento é criado para que a tradução reversa possa ser executada nos pacotes de retorno tão bem.
O pacote chega ao seu servidor. Ele é entregue na pilha TCP, que cria um pacote ack em resposta. Como normal quando um pacote é respondido a fonte e destino são trocados. Portanto, o pacote tem um endereço de origem de 192.168.1.210, um endereço de destino de 2.2.2.2, uma porta de origem de 80 e uma porta de destino de 12345.
A resposta deixa a pilha TCP e atinge o iptables. Suas regras estão realizando uma correspondência de UID para que a correspondência do proprietário funcione corretamente e o pacote deve passar por lá.
Em seguida, ele atinge a tabela de roteamento. Que envia para baixo a VPN. Ele atinge um NAT na VPN que modifica sua origem de alguma forma, retorna para seu amigo e é descartado devido ao endereço de origem errado.
Correções possíveis: 1: Adicione o IP de seus amigos à tabela de roteamento, obviamente, não dimensiona muito bem e pode causar vazamento no tráfego de torrent. 2: Se o seu nat box é um sistema linux adequado, deve ser possível configurá-lo para alterar a fonte, assim como o destino das conexões de entrada. Então, a sua caixa de torrent, em seguida, vê a caixa NAT como a fonte, em vez de ver o seu sistema de amigos na internet. 3: use os recursos de "roteamento avançado" no linux para rotear com base na porta de origem. Infelizmente, os recursos avançados de roteamento são muito poderosos, mas também difíceis de entender. Se você quiser mais informações sobre essa rota, confira o "guia avançado de roteamento e controle de tráfego do linux"