Linux iptables/UFW — Исключить ОДИН хост из nat

Question

В настоящее время я использую UFW для NAT двух подсетей IPv4 для интерфейсов VPN следующим образом:

выдержка из /etc/ufw/before.rules:

# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0]

-A POSTROUTING -s 192.168.1.0/24 -o vpnif -j MASQUERADE
-A POSTROUTING -s 192.168.2.0/24 -o vpnif -j MASQUERADE

Теперь я столкнулся с просьбой исключить хост (192.168.2.100) из этого NAT по направлению к VPN и разрешить ему использовать «обычный» внешний интерфейс enp1s0.

Я попробовал добавить правило перед двумя, показанными здесь, вот так:

-A POSTROUTING -s 192.168.2.100/32 -o enp1s0 -j MASQUERADE

Правило, похоже, добавлено в правильном месте:

Chain POSTROUTING (policy ACCEPT)
num  target     prot opt source               destination         
1    MASQUERADE  all  --  192.168.2.100      anywhere            
2    MASQUERADE  all  --  192.168.1.0/24     anywhere            
3    MASQUERADE  all  --  192.168.2.0/24     anywhere      

Но, к сожалению, трафик все равно выходит через интерфейс VPN... Может ли кто-нибудь указать мне правильное направление?

Спасибо!