certo.
O que está faltando é a regra de NAT. Sem ela, o seu gateway repassa os pacotes com o endereço de origem da rede interna; só que além do próprio gateway, ninguém mais conhece sua rede interna. Os pacotes saem, mas não conseguem voltar.
Adicione a linha abaixo ao script de inicialização do gateway pra ativar o NAT:
iptables -t nat -A POSTROUTING -d ! 10.0.0.0/8 -j MASQUERADE