Labai ačiū!
Pakeičiau į:

add action=masquerade chain=srcnat src-address=192.168.2.0/24

ir viskas veikia. Tiesa, interface eth1 neleidžia parinkti, bet veikia ir 
taip.


> Jei gerai supratau daug vidinių ip adresų išeina pe vieną išorinį ip (PAT 
> atvejis)  tada
> ip->firewall->nat gal ir veikia bet paprastai turėtų būti taip:
>> add (action=src-nat ->šios nuostatos nenaudočiau) chain=srcnat 
>> src-address=192.168.2.0/24 to interface=eth1 action=masquerade 
>> (to-addresses=PublicIP->šios nuostatos nenaudočiau)