firehol или iptables: не получается отфильтровать по пользователю

В firehol не работают запрещающие правила с указанием пользователя

проверяю под root:
telnet mail.ru 443
Trying 217.69.139.200...
Connected to mail.ru.
Escape character is '^]'.

связь есть

в firehol в interface провайдера добавляю:
client https drop uid 1008
перезапускаю firehol

пробую под рутом:
telnet mail.ru 443
связи нет!

меняю правило на
client https drop uid not 1008
перезапускаю firehol
связи опять нет

впечатление, что фильтр по пользователю игнорируется в iptables и блокируются все пользователи

судя по iptables -L -n и firehol debug так и есть
потому что каждое client правило firehol транслируется в 2 правила iptables, прямое выглядит нормально, а обратка без фильтра по пользователю, наверно потому что на INPUT фильтр не работает?

получается по пользователям можно раздавать только разрешения, а не запреты, неудобно однако и немного неожиданно и головоломно