sport 22 через таблицу VPN, но в таком случае вы сможете подключаться к серверу только через VPN-адрес.
В данный момент использую wireguard, но мне не нравится данное решение, так как весь трафик проходит только через этот vpn, что не очень ради одного 25 порта.
sudo ip route add default dev wg0 table 100
sudo ip rule add ipproto tcp dport 25 table 100
Задача, как она поставлена в вопросе, решается без маркировки трафика.