Перенаправление портов на VPN

                                                 |
                                                 |WAN
                                             /-------\
  .------------------------------------------| switch|
 |                                           \-------/
 |  /--------------------\                        |
 |  |                    |     /-------------\    |
 `--|eth0            eth1|-----|192.168.1.1  |    |
    |1.2.3.4  192.168.1.2|     |      1.2.3.5|----'
    |                    |     \-------------/ VPN
    \--------------------/         router
           server

таблица маршрутов:

10.0.0.0/8 via 192.168.1.1
192.168.1.0/24 dev eth1
1.2.3.4/29 dev eth0
default via 1.2.3.3 dev eth0

Я хочу выполнить переадресацию портов для доступа к 10.0.0.0/8 из Интернета.

правила iptabless:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j DNAT --to-destination 10.0.0.1:8000
iptables -t nat -A PREROUTING  -p tcp --dport 8080 -j DNAT --to-destination 10.0.0.1:8000
iptables -t nat -A POSTROUTING -p tcp -d 10.0.0.1 --dport 8000 -j MASQUERADE

но это не работает. пожалуйста помоги. Спасибо.