Isso mesmo... Porém as regras de bloqueio de domínio deveriam vir antes das regras de controle por IP/MAC.