Правила брандмауэра

Ты говоришь файрволу заблокировать весь класс C, когда используешь /24 (это твоя подсеть). Используй /32, чтобы указать отдельный IP. Помни, что цепочка вывода предназначена для соединений, идущих от роутера, а не от клиентов, находящихся за ним. Скорее всего, тебе захочется блокировать IP-адреса клиентов с помощью цепочек forward и, возможно, source nat, в зависимости от того, как настроен твой файрвол (ты используешь nat и/или masquerading?). Не уверен, как делать диапазоны, кроме как через небольшую подсеть твоей сети. Если у тебя больше IP-адресов для блокировки, чем для разрешения, заблокируй всю свою подсеть, а затем разреши только те, которые тебе нужно.