vipvipvipvipvipvipvipvip

Потому что вам нужен не DNAT в PREROUTING, а FORWARD. Гуглите именно его.

DNAT подменяет Destination address и не трогает Source
т.е. вроде все правильно делаешь.
но судя по симптомам, где то у тебя в правила iptables прокрался SNAT и/или маскарадинг