правила ipset

Помогите пожалуйста разобраться с правилами ipset.
Он мне нужен чтобы блочить https всяких фэйсбуков и контактов.
У меня должно быть три группы "вся_сеть", "манагерс" и "ресурс".
Правило iptables должно блочить для "вся_сеть", исключая "манагерс" к "ресурс".
Такое вообще возможно с ipset в iptables?
Я не силен в iptables... Гуглил но похожих примеров не нашел.

Блокируем много IP адресов

я видел эту ссылку, но по ходу нужно начинать с iptables.
вы можете подсказать, как данное правило должно писаться в iptables?
пробую так: iptables -A OUTPUT -p tcp -s 172.16.20.0/24 ! -d 77.234.201.242 -j DROP
блокируется доступ всей сети к ресурсу.
а как добавить правило с исключением?

пробовал так:
iptables -A OUTPUT -p tcp ! -s 172.16.20.100/32 -d 77.234.201.242 -j DROP

дропается на всю сеть, включая 100 адрес.

"dvanov" написал:

вы можете подсказать, как данное правило должно писаться в iptables?

Сформулируйте вопрос, что в итоге надо?

чтобы из моей сети - 172.16.20.0/24, исключая адрес 172.16.20.100/32 пакеты адресованные для 77.234.201.242 дропались.