>> Послушайте снифером на конечном сервере. Кажется дропится не на сервере фильтрации, а
>> на конечном. Может даже не дропится, а отсылается клиенту, но получается
>> нестыковка сессии по IP адресам.
> Нет там никакой сессии, UDP же.

Давно это было, может я и забыл какие-то нюансы. Но, кажется, может зависеть от реализации. Если отправить запрос на один адрес, а получить ответ с другого, возможно будет проблемой. А "сессия" в iptables даже для ICMP применяется, правда на SNAT, именно сессия в кавычках.

>> Поставьте на
>> конечном сервере default gw через сервер фильтрации, чтобы DNAT в обратку
>> отрабатывал, должно заработать.
> Конечный сервер и сервер фильтрации в разных сетях.

Да, наводит на мысль, что в обратку SNAT, надо бы. Как тут в примере 5.7 http://linux-ip.net/html/nat-dnat.html

Но тут пока до всего этого не дошло. Пока просто до конечного сервака пакет не доходит, как будто форвардинг не работает.