Filtro de bridge não funciona

Olá colegas

Gostaria de proteger minha rede de possíveis MNDP que venha de um cliente final. Testei vários filtros já discutidos aqui como em outros fóruns mas não obtive sucesso. Os filtros que uso nos APs hoje estão assim:

add action=drop chain=forward comment="====Drop-Broadcast====" mac-protocol=ip \
packet-type=broadcast

add action=drop chain=input comment="====Drop-DHCP====" in-interface=wlan1 \
ip-protocol=udp mac-protocol=ip src-port=67

add action=drop chain=forward in-interface=wlan1 ip-protocol=udp mac-protocol=\
ip src-port=67

add action=drop chain=forward comment="====Drop-NetBios====" dst-port=135-139 \
in-interface=wlan1 ip-protocol=tcp mac-protocol=ip

add action=drop chain=forward dst-port=135-139 in-interface=wlan1 ip-protocol=\
udp mac-protocol=ip

add action=drop chain=forward dst-port=445 in-interface=wlan1 ip-protocol=tcp \
mac-protocol=ip

add action=drop chain=forward dst-port=445 in-interface=wlan1 ip-protocol=udp \
mac-protocol=ip

add action=drop chain=forward comment="====Drop-Discovery-UBNT====" dst-port=\
10001 in-interface=wlan1 ip-protocol=udp mac-protocol=ip

add action=drop chain=input comment="====Drop-MNDP====" dst-port=5678 \
in-interface=wlan1 ip-protocol=udp mac-protocol=ip

Todas as outras regras funcionam normalmente, somente a de MNDP que não, quando ativo a interface wlan do cliente para buscar os vizinhos ele sempre mostra TODA A MINHA REDE.

Já tentei também esse conjunto de regras:

accept chain=forward disabled=no in-interface=wlan1 mac-protocol=0x8864

accept chain=forward disabled=no in-interface=wlan1 mac-protocol=0x8863

drop chain=forward disabled=no in-interface=wlan1

... e não tive sucesso.

Alguém já passou pela mesma coisa e conseguiu resolver?