marchi i pacchetti con iptables e poi quano vai a fare NAT li selezioni in base al flag.