Как предоставить клиенту Wireguard доступ только к Интернету

У меня настроено несколько интерфейсов WireGuard, и я могу для каждого узла решить, предоставлять ли доступ только к серверу или к серверу и локальной сети/Интернету. Что я хочу сделать для конкретного узла, так это предоставить доступ только к Интернету, а не к серверу и локальной сети.

Я думаю, что я не могу сделать это на уровне туннеля/интерфейса, но должен сделать это с помощью iptables в конфигурации однорангового узла - верно? Как мне это сделать?

Я пытался найти информацию об этом, но я нахожусь в 4 странах от сервера и боюсь настроить что-то неправильно :-$ Лучшим способом, вероятно, было бы пройти весь курс iptables и маршрутизации, но попытаться найти что-то побыстрее. чем это. Все мои поиски в Интернете упускают мою проблему, потому что у большинства людей проблемы с клиентами, которые не могут выйти в Интернет через туннель...