nwur

в IPv6 _нет_ NAT. Совсем.
Сам по себе NAT (в IPv4) ни от чего не защищает, это не его задача. Хотите защищать - ставьте файрвол.
Если нужны лишь обновления по http/https - прокси вам в зубы.

А может на локальном DNS-сервере свернуть *.facebook.com на страничку с надписью "нельзя" и не заморачиваться?