mitico! sembra funzionare ... solo che il rispettivo

iptables -A FORWARD -s ip-pc-da-bloccare -o ethx-scheda-di-rete-verso-l'esterno -j ACCEPT

pare non faccia l'operazione inversa. Qualche idea?