заблокировать исходящий трафик в определёную сеть для NAT клиентов

[exonix]

имеется debian 8.6, настроен NAT:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

есль NAT клиенты (сеть 172.16.11.0/24, подключены к eth1)

Как мне всем в сети 172.16.11.0/24 запретить подклбючаться к сети 10.10.10.0/24 ?

делал так:

iptables -A OUTPUT -d 10.10.10.0/24 -j DROP

после этого доступ к debian пропадают, а пользователи сети 172 не заблокированы (могут пинговать сеть 10)

Спасибо
Пользователь добавил сообщение 20 Января 2017, 17:56:49:стоило создать тему, как нашёлся ответ:

iptables -A FORWARD -d 10.10.10.0/24 -j DROP