Как правильно настроить NAT для доступа к внутреннему сервису из внутренней сети через внешний интерфейс?

Drno, ну да, он самый, а также NAT loopback, NAT reflection - "нат сам в себя" )))

Как правильно настроить NAT для доступа к внутреннему сервису из внутренней сети через внешний интерфейс?

А как с помощью маршрутизации?

С помощью NAT планировалось контролировать доступ, например отсеивать по гео, и прочих хулиганов (fail2ban)..., а маршрут, на сколько я понимаю, однозначен в этом плане