shorewall и натирование трафика на нужные сети

[astlin]

Есть машина с одним интерфейсом и несколькими вланами на нем, один из которых смотрит в инет. По другим вланам приходит трафик клиентский. Необходимо натить трафик на определенные адреса/сети на влан с реальным адресом, остальной трафик на внутреннюю заглушку. Не понимаю как в шореволе сделать разделение на разрешенные сети/все остальное. Из мануалов вырисовывается маркирование трафика по зонам, но опять же не нашел примера как такое сделать. Подозреваю, что очень просто, но как? :)