Как заблокировать весь доступ к машине, кроме порта 3389, с помощью Open vSwitch

Я могу разрешить доступ к машине и заблокировать все остальное, используя:

ovs-ofctl add-flow xenbr0 "dl_src={mac-address} priority=39000 dl_type=0x0800 nw_dst={ip-address} idle_timeout=65000 action=normal"
ovs-ofctl add-flow xenbr0 "dl_src={mac-address} priority=38000 dl_type=0x0800 nw_src=ANY idle_timeout=65000 action=drop"

но я хотел бы разрешить любому IP-адресу подключаться к порту 3389 только. Как я могу это сделать?

Я пробовал добавить tp_dst=3389 к первому правилу и настройке nw_dst=* но это, похоже, не работает.

Я изо всех сил пытаюсь понять руководство для этого, поэтому извиняюсь, если я его пропустил: http://openvswitch.org/cgi-bin/ovsman.cgi?page=utilities%2Fovs-ofctl.8

Изменить: мне все еще не везет. Я пробовал разные варианты параметров, но не могу разрешить порт 3389 RDP, но отключил доступ ко всему остальному.