pfsense: Запретить все исходящие подключения изнутри, кроме трафика одной системы

У меня здесь лабораторная среда для тестирования программного обеспечения, которое должно работать только в этой сети «лабораторной среды».

С этой целью «лабораторная среда» имеет межсетевой экран pfsense на периферии сети, действующий как «шлюз».

Мне нужно настроить pfSense, чтобы запретить всем внутренним адресам локальной сети исходящее подключение к Интернету, за исключением одной системы, у которой статический IP-адрес.

Я пробовал заблокировать FROM LAN Address -> (any) безуспешно, так как система все еще могла подключиться к Интернету с этим правилом. Я думаю, что создать правило «Пропустить» достаточно просто, FROM 172.16.1.1 TO (any).

Может ли кто-нибудь помочь мне с этими правилами брандмауэра? Вроде новичок в pfSense, так как я пришел из iptables-at-the-network-edge, поэтому любая помощь приветствуется.