¿Cuál es la diferencia entre las cadenas OUTPUT y FORWARD en iptables?

CentOS 6.0

Estoy estudiando iptables y me estoy confundiendo sobre la diferencia entre las cadenas FORWARD y OUTPUT. En mi documentación de entrenamiento, dice:

Si está agregando a (-A) o eliminando de (-D) una cadena, querrá aplicarla a los datos de red que viajan en una de tres direcciones:

• ENTRADA: todos los paquetes entrantes se verifican contra las reglas de esta cadena.
• SALIDA - Todos los paquetes salientes se verifican contra las reglas de esta cadena.
• ADELANTE: todos los paquetes que se envían a otra computadora se verifican según las reglas de esta cadena.

Esto me confunde porque, en mi opinión, los paquetes que salen para un host SERÍAN salientes. Entonces, ¿hay escenarios en los que un paquete iría a otra computadora pero NO sería "saliente"? ¿Cómo distinguiría iptables entre los dos?

OUTPUT es para paquetes emitidos por el host. Su destino suele ser otro host, pero puede ser el mismo host a través de la interfaz de bucle invertido, por lo que no todos los paquetes que pasan por OUTPUT son de hecho salientes.

FORWARD es para paquetes que no son emitidos por el host ni dirigidos al host. Son los paquetes que el host simplemente está enrutando.

Cuando comienzas a profundizar en la manipulación de paquetes y NAT, la historia completa es bastante más compleja .

A mi entender:

ENTRADA: dst IP está en el host, incluso tiene múltiples puertos con múltiples subredes

SALIDA: src IP es del host, ya sea puerto

ADELANTE: Ni dst IP en el host ni src IP del host

Por ejemplo, al enrutador A

INPUT es:

192.168.10.1 -> 192.168.10.199

192.168.10.1 -> 192.168.2.1

SALIDA es:

192.168.10.199 -> xxxx

192.168.2.1 -> xxxx

ADELANTE es:

192.168.10.1 -> 192.168.2.199

192.168.10.1 -> 192.168.8.1

192.168.10.1 -> 192.168.8.199