Como restringir a porta principal pelo iptables e permitir o serviço em outra porta

Question

Configuração simples com o servidor de email com porta 993 imap. O IP local é estático no roteador principal para o IP público. Eu preciso restringir o acesso à porta 993 por lan local e permitir conexão a porta imapl por portas myknown "especiais". Entenda que o IP de origem que se conecta a portas "especiais" é público. Então eu pergunto se pode ser executado por iptables locais ou eu preciso rotear portas "especiais" por outro host local? O que eu senti falta?

iptables -A INPUT -p tcp --dport 33333 -j ACCEPT
iptables -A INPUT -p tcp --dport 33334 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 993  -j ACCEPT
iptables -A PREROUTING -t nat -p tcp --dport 33333 -j REDIRECT  --to-port 993
iptables -A PREROUTING -t nat -p tcp --dport 33334 -j REDIRECT  --to-port 993

Atualização: Eu preciso abrir as portas 33333 e 33334 para internet e lan local e manter a porta 993 aberta somente para lan local. As portas 33333 e 33334 são encaminhadas para 993. Encaminhamento não funciona no caso 993 restrito:  %código%. O servidor tem uma interface ethernet.