Надо предоставить доступ к службе на сервере.
С помощью "Virtual Server" делаем портмапинг внешнего порта на порт службы на сервере. В "Incoming IP Filtering" создаем правило разрешающее доступ к внешнему порту только с определенных IP-адресов. Проверяем - работает.
Теперь убираем правило в "Incoming IP Filtering". Проверяем - опять работает! Смотрим в INPUT, там последнее правило:

Выше правил разрешающих доступ к внешнему порту нет. Каким образом все это работает? Портмапинг минует iptables? Объясните, пожалуйста.

Incoming IP Filtering предназначен для прямого роутинга из WAN, а не для проброса портов.

Спасибо за ответ. Проброс портов иным способом организовать нельзя? Если нет, то получается дыра, которая никак не контролируется.
Тогда подойдем к решению вопроса с другой стороны. Есть ли возможность сохранить текущее значение таблиц iptables после перезагрузки (аналог iptables-save)? Дело в том, что вручную я могу сформировать нужные мне правила, беда в том, что они не сохраняться после ребута.