Se vc está fazendo o redir de porta para outro servidor....vc num precisa liberar a política de INPUT para o firewall....só precisa 1 redirecionar o pacote e depois garantir o retorno..tipo assim:
iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 10.10.10.10:9090
iptables -A FORWARD -s 10.10.10.0/24 -p tcp --dport 9090 -j ACCEPT
e cuidado com a sequência das regras...é coisa simples...mas essencial pro funcionamento !!!!