хм ... хотел было сказать - перебрасывай трифик средствами nat
, но наверное скажу вот так :

бери у прова еще одну сетку - вешай ее на 3-ий ифейс и рули своей DMZ как бог на душу положит....

>Условия
>1. есть диапазон выделенный провайдером с маской .248
>2. есть шлюз (linux) с тремя интерфейсами, 1- внешний, 2- 192.168.1. и
>3й незадействован
>3. есть веб сервер под вин 2003, которому очень надо смотреть наружу
>своей внешней карточкой.
>Вопрос как веб-сервак из п.3 упрятать за шлюз п.2 с целью накрутить
>файрволл(iptables) для защиты веб-сервака. Примечание: доступ снаружи к веб-серваку должен осуществлятся
>через внешний интерфейс, на нем должно быть видно с каких внешних
>адресов к нему стучатся. спасибо за советы)
>
Все кричат, кричат.
Все можно сделать вообще не просто, а очень просто.
Средствами Апача.
В конфиге апача указываем

# VirtualHost www.типасервер.com
#
<VirtualHost IPАДРЕС>
    ServerAdmin адмиy@типаcервер.com
    ServerName www.типасервер.com
    ServerAlias *типасервер.com
ProxyPass / http://192.168.1.1??/ # Тута твой внутренний адрес (или в мозамбике)
ProxyPassReverse / http://192.168.1.1??/ # Он же
    ErrorLog /???/типасервер-error_log
    CustomLog /???/типасервер-access_log common

</VirtualHost>
Можете высказывать свои замечания. Вся секюрити на стороне линухового
сервера.
Делается за 30 секунд методом копирования в http.conf

Ну а дальше рестарт. и тихо радуемся.
Для желающих читать маны про апач.
Всеобщий привет!

>Условия
>1. есть диапазон выделенный провайдером с маской .248
>2. есть шлюз (linux) с тремя интерфейсами, 1- внешний, 2- 192.168.1. и
>3й незадействован
>3. есть веб сервер под вин 2003, которому очень надо смотреть наружу
>своей внешней карточкой.
>Вопрос как веб-сервак из п.3 упрятать за шлюз п.2 с целью накрутить
>файрволл(iptables) для защиты веб-сервака. Примечание: доступ снаружи к веб-серваку должен осуществлятся
>через внешний интерфейс, на нем должно быть видно с каких внешних
>адресов к нему стучатся. спасибо за советы)
>

Да не страдайте вы все фигней! Мост, херост...

ifconfig eth0 x.x.x.2 netmask 255.255.255.252
ifconfig eth1 192.168.1.x netmask 255.255.255.0
ifconfig eth3 x.x.x.5 netmask 255.255.255.252

далее, веб-сервер кросовером воткнут в eth3 и имеет
ifconfig eth0 x.x.x.6 netmask 255.255.255.252

со стороны провайдер имеем
route add x.x.x.0 mask 255.255.255.248 x.x.x.1

ВСЕ!!!!! Больше ничего не надо. ну, кроме echo 1 > /proc/net/ip_forward на линукс-роутере у вас. и НАТ-а для серой сети.

>Условия
>1. есть диапазон выделенный провайдером с маской .248
>2. есть шлюз (linux) с тремя интерфейсами, 1- внешний, 2- 192.168.1. и
>3й незадействован
>3. есть веб сервер под вин 2003, которому очень надо смотреть наружу
>своей внешней карточкой.
>Вопрос как веб-сервак из п.3 упрятать за шлюз п.2 с целью накрутить
>файрволл(iptables) для защиты веб-сервака. Примечание: доступ снаружи к веб-серваку должен осуществлятся
>через внешний интерфейс, на нем должно быть видно с каких внешних
>адресов к нему стучатся. спасибо за советы)
>

rinetd

>Условия
>1. есть диапазон выделенный провайдером с маской .248
>2. есть шлюз (linux) с тремя интерфейсами, 1- внешний, 2- 192.168.1. и
>3й незадействован
>3. есть веб сервер под вин 2003, которому очень надо смотреть наружу
>своей внешней карточкой.
>Вопрос как веб-сервак из п.3 упрятать за шлюз п.2 с целью накрутить
>файрволл(iptables) для защиты веб-сервака. Примечание: доступ снаружи к веб-серваку должен осуществлятся
>через внешний интерфейс, на нем должно быть видно с каких внешних
>адресов к нему стучатся. спасибо за советы)
>
Что мешает тебе сделать как-нибудь так:
Linux: ifconfig eth3 x.x.x.3 netmask 255.255.255.248

Windows: прописываешь адрес интерфейса(на сетевой карте) x.x.x.4
         маршрут по умолчанию x.x.x.3

Linux:
iptables -A FORWARD -s 0.0.0.0/0 -d x.x.x.3 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -d 0.0.0.0/0 -s x.x.x.3 -p tcp --sport 80 -j ACCEPT
iptables -A FORWARD -s 0.0.0.0/0 -d x.x.x.3 -j DROP
iptables -A FORWARD -d 0.0.0.0/0 -s x.x.x.3 -j DROP

>Вопрос как веб-сервак из п.3 упрятать за шлюз п.2 с целью накрутить
>файрволл(iptables) для защиты веб-сервака. Примечание: доступ снаружи к веб-серваку должен осуществлятся
>через внешний интерфейс, на нем должно быть видно с каких внешних
>адресов к нему стучатся. спасибо за советы)
>

неясно как это поможет безопасности машины под виндой, порты и в windows закрыть можно, и нахождение за *nix роутером ничем не поможет, если будут ломать, то через законно открытый 80 порт.

так что не в ту сторону роете.