Маркируете трафик и дропаете его как только он попадает в FILTER. Не надо пытаться забивать молотком шурупы - для этого отвертка есть.
Вот как я например глушу прилетающие "снаружи" пакеты с RFC1918-адресами: (формат iptables-restore)
*mangle
-A PREROUTING -i eth0 -m set --match-set rfc1918 src -j MARK --set-mark 1
*filter
-A INPUT -m mark --mark 1 -j DROP
Сет rfc1918 - это таблица, которую составляет ipset:
create rfc1918 hash:net family inet hashsize 1024 maxelem 65536
add rfc1918 10.0.0.0/8
add rfc1918 172.16.0.0/12
add rfc1918 192.168.0.0/16
С его помощью запросто организовать доступ к ssh например только для определенного списка адресов, а всех остальных дропать.