iptables nat disable ip

НЕ выпускать его.

Я делая вот так: $IPTABLES -t nat -A PREROUTING -s 192.168.X.X -d 0/0 -p tcp --dport 80:88 -j DROP

А еще правильней (ИМХО), для каждого свою цепочку, тогда
и управление гибче, и обсчитать (в случае чего) или траф проверить проще.
У меня на все внутренние IP сделана отдельная цепочка.

Ну можно в цепочке форвард запретить прохождение пакетов от этого хоста