Разделить правила по двум IP адресам от провайдера

Добрый день. Появился дополнительный внешний IP адрес от провайдера с тем же шлюзом и на одном порту. В /ip firewall nat были созданы правила dst-nat с указанием dst.address (второй ip провайдера)
Как мне можно запретить весь остальной входящий трафик на этот IP кроме назначенного dst-nat?

 

Спасибо. Что то я не подумал что это input цепочка

 

При данном решении, остальные правила в таблице nat тоже отрабатывают по этому ip адресу.
Грубо говоря были созданы ранее правила nat для переброски допустим 80, 443, 21 порта на локальный компьютер 1, далее появился 2-й адрес, для него были настроены тоже правила nat на проброс 22, 33 порта для локального компьютера 2 с указанием dst-address=2-й_АДРЕС.
Если обращаться через интернет на порт 22,33 по 2-му ip адресу идёт проброс на 2-й лок.компьютер, но если обращаться также по 2-му адресу на 80,443,21 порт, точно так же идёт проброс на локальный компьютер 1.
А мне нужно сделать так что бы 2-й адрес работал с nat только для 2-го лок.компьютера. Что бы остальные правила он не обрабатывал

 

Ого, вот где она - сила! Отличная таблица, всё объясняет

 

Верно я мыслю? Мне необходимо в prerouting пометить пакеты (или соединения) для обоих ip адресов и далее во всех правилах nat использовать этот mangle ?

 

Я пробовал так сделать с самого начала, это не работает