Redirecionar ip valido p/ ip interno

Pessoal,

Eu preciso redirecionar as tentativas de acesso a um ip valido para um ip interno, fiz assim no iptables:

#redirecionamento
iptables -t nat -A PREROUTING -p tcp -s 0/0 -d 189.99.99.9:80 -j DNAT --to 192.168.3.2:80

iptables -t filter -A INPUT -i $WAN -p tcp -m multiport --dport 22,80 -j ACCEPT # wan
iptables -t filter -A INPUT -i $WAN -p tcp -m multiport --sport 22,80 -j ACCEPT # wan

Porém, quando ponho um tcpdump no firewall (na porta de wan) e acesso o ip valido via browser, ele continua funcionando e o dump funciona.

no traceroute da estação, ainda faz o tráfego pelo ip externo, mas ai é pq eu direcionei só porta 80, mas já fiz o teste sem a porta 80 e funcionou da mesma forma.

Alguém tem uma dica pra mim ?

iptables -t nat -A PREROUTING -p tcp -d 189.99.99.9 --dport 80 -j DNAT --to 192.168.3.2:80

valeue e abraço.