Почему в этом случае не работает опция «nomatch» в ipset?

Я использую ipset 6.23-2 в Debian Jessie. Я создал набор hash: net для и правило iptables, чтобы отбросить весь трафик для адресов в наборе.

Chain INPUT (policy ACCEPT)
target     prot opt source               destination
DROP       all  --  anywhere             anywhere             match-set Example-Set src

Я использовал опцию nomatch, чтобы добавить к ней сеть моих внутренних серверов. Я предполагал, что он будет работать как исключение, поэтому он в основном защищен от дурака, и я случайно не заблокирую свои серверы (или одного из моих коллег).

Name: Example-Set
Type: hash:net
Revision: 6
Header: family inet hashsize 1024 maxelem 65536 comment
Size in memory: 3424
References: 1
Members:
10.50.7.0/24 nomatch comment "# 2017-09-14"

Тем не менее, он все еще совпадает, когда я добавляю конкретный IP-адрес, например, внутри подсети, например. 10.50.7.30 в набор и сбрасывает весь трафик с этого ip.

Name: Example-Set
Type: hash:net
Revision: 7
Header: family inet hashsize 1024 maxelem 65536 comment
Size in memory: 3424
References: 1
Members:
10.50.7.0/24 nomatch comment "# 2017-09-14"
10.50.7.21 comment "# 2017-09-14"

Полагаю, я ошибаюсь насчет того, как работает "nomatch"?

Это работает только для исключения меньших подсетей из более крупной?

Есть ли способ решить эту проблему без создания дополнительных наборов?