Если IP жертвы один и помимо LAN других сетей нет, то
Source - нужный IP, protocol - any, destination и порт - не указываете. Action - block или reject.
Если жертв более одной - создайте алиас с их IP, и в Source указываете этот алиас.
Если же жертв более одной, и есть другие сети, доступные, через VPN, например, доступ к которым нужно оставить - удобно использовать совет nuihuase с использованием NOT, при желании дополнив его алиасами.
Правило поставить выше, чем
Default allow LAN to any rule.
Для удобства чтения - пример такого правила с Микротик:
action=reject chain=forward comment="No Internet Access" dst-address-list=**!**Local_subnets src-address-list=No_Internet
где:
Local_subnets - список(алиас) локальных сетей.
No_Internet - список(алиас) ограничиваемых IP
! - означает NOT.
Сессии, открытые с IP жертв до применения правила могут довольно долго продолжать работать до того, как их убьет pfSense.
Поэтому - reset states или reboot.
