Proibir um ip para acessar o wan

Estou tentando configurar o meu DLink DI524 para fazer o seguinte:
Eu tenho um PS3 no cabo LAN e meu roteador está configurado com filtros MAC (esta parte está OK e funcionando).

Mas agora estou tentando fazer isso: quero que esse PS3 se conecte, mas ele só terá tráfego na LAN, nunca será permitido obter dados de WAN ou mesmo NAT.

Eu pensei que eu poderia fazer isso com a máscara de sub-rede, mas não tenho tanta certeza sobre isso.

Alguém com experiência poderia me ajudar um pouco?

Consulte a página "Avançado - Filtros - Filtros IP", onde você pode ativar / desativar o acesso à Internet para o intervalo especificado de portas e endereços IP.

Basta adicionar uma regra que negue o acesso à Internet para o endereço IP do seu PS3.

Se seu PS3 tiver um endereço IP atribuído dinamicamente (ou seja, estiver usando DHCP), você deverá alterar sua configuração de rede e fornecer um endereço IP estático. Observe a configuração "Home - DHCP" do roteador e verifique se o endereço IP estático escolhido não pertence ao intervalo de endereços iniciais do DHCP.

Você pode codificar o endereço IP do PS3, (em vez de usar o DHCP) e não definir um gateway? Ou definir o gateway para o mesmo IP que o PS3? Ele poderia então falar na LAN usando Ethernet Broadcasts, mas não saberia rotear para dispositivos que não respondem à transmissão.

Você pode controlar o número de IPs disponíveis através de uma máscara de sub-rede.

Exemplo: Se eu usar 192.168.0.0 como minha rede, posso usar um / 30 para que 192.168.0.0 até 192.168.0.4. Fazendo isto um / 29 permitiria por 192.168.0.8. / 28 passa por 192.168.0.16. O padrão continua (dobrando o número) até 24 / o que você obteria 192.168.0.255. O que isso faria é parar qualquer número fora do intervalo (não apenas um IP).

Se você estiver filtrando o mac, isso deve permitir apenas os dispositivos que você espera ver na rede (a menos que alguém que o MAC falsifique). Eu não estou realmente familiarizado com uma maneira de desautorizar um único IP em um intervalo (a menos que você esteja usando um roteador high-end, não um SoHo).