Inicialmente um ponto importante, no iptables as regras de PREROUTING
que fazem os redirecionamentos de portas executam antes das regras de filtro que definem quais portas pode ser acessadas e por quais IPs, como pode-se ver no diagrama abaixo:
Assim, quando um IP tentar acessar a porta 3306
ele primeiramente será redirecionado para a porta 54235
e só em seguida são executadas as regras de filtragem de quais portas ele pode acessar. Isto significa dizer que qualquer IP que tenha acesso a porta 54235
conseguirá também acessar a porta 3306
mesmo que não tenha acesso a ela já que assim que ele acessar a porta 3306
ele já será redirecionado e só depois se verificará se ele pode acessar (mas agora ele já está na porta 54235
).
Sabendo disto, caso deseje continuar então configure o iptables da seguinte forma para permitir acesso apenas a determinado ip na porta 3306 (esta regra não será útil pois como dito anteriormente ela não será verificada apenas coloquei para deixar claro as regras do iptables):
sudo iptables -A INPUT -p tcp -s IP_AQUI --dport 3306 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
sudo iptables -A OUTPUT -p tcp --sport 3306 -m conntrack --ctstate ESTABLISHED -j ACCEPT
A primeira regra você deve repetir para os dois IPs permitidos, isto fará com que apenas os ips definidos nesta regra consigam iniciar uma conexão nesta porta, o segundo passo é redirecionar as portas, o comando é este:
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 3306 -j REDIRECT --to-port 54235
Por fim para não permitir outras conexões na porta 3306
(novamente esta regra também não sera executada)
iptables -A INPUT -p tcp --dport 3306 -j DROP
Para aceitar todas as conexões na porta 54235
iptables -A INPUT -p tcp --dport 54235 -j ACCEPT
E para modificar a política padrão para DROP
iptables -P INPUT DROP