Ja dla publicznych adresów IP nie mam ani SNAT ani DNAT... Tylko ACCEPT na FORWARD...

Ale... nie chce pozbawiac usera IP wewnetrznego a jedynie na serwerze zamiast MASQUERADE dac odpowiednie DNAT/SNAT.