Mit analogen IP28 Ports ist es ja noch einfacher. Es scheint ja eine überschaubare Menge zu sein.

Hier sehe ich es als noch einfacher jeweils in den Auto-Routen der IP-28 Interface die Nummern zu sperren.
Die einzelnen Ziffern und *# kann man ja einmalig über update-script auf alle Routen verteilen, dann müsste man nur noch die einzelnen erlaubten Ziele konfigurieren.

Gruß Roland