Данные правила необходимы для проброса в мир определенного порта с гостевой машины. Зачем? У каждого свои потребности связанные с архитектурой сервиса.

iptables -t nat -I PREROUTING -p tcp -d $EXTERNAL_IP --dport $PORT -j DNAT --to-destination $GUEST_VM_IP:$PORT
iptables -I FORWARD -m state -d $GUEST_VM_IP/24 --state NEW,RELATED,ESTABLISHED -j ACCEPT 

где:

$EXTERNAL_IP — внешний IP
$GUEST_VM_IP — локальный IP гостевой машины
$PORT — порт, который нужно пробросить в интернет

Нагло скопипастил с оф.форума VestaCP следующий код для смены порта «в одну строку», автора и ссылку не сохранил — простите меня уж.

sed -i 's/8083;/5611;/' /usr/local/vesta/nginx/conf/nginx.conf && v-add-firewall-rule ACCEPT 0.0.0.0/0 5611 TCP && service vesta restart

Все эти изменения связаны с  уязвимостью панели VestaCP