Как заблокировать подсеть

это правило реджектит пакеты, идущие на пул_адресов, принадлежащий контуперу/устройству на котором оно (правило) прописано.

иными словами: под INPUT'ом подразумеваются входящие пакеты

ты этими строчками пинг не закроешь. google -> icmp

ок. с инпутом понятно, промахнулся. А как, все таки, полностью обрезать доступ к этой сети?

да не уж-то?! ;)

-A FORWARD -p ALL -d 91.20.0.0/16 -j DROP

во первых, как уже отметили, icmp != tcp, а вовторых, как опять таки уже отметили, ты режиш входящий тарафик, а не исходящий. т.ч.:

iptables -A INPUT -s 91.20.0.0/16 -j REJECT
iptables -A OUTPUT -d 91.20.0.0/16 -j REJECT

переведите уже слово INPUT

ты режиш входящий тарафик, а не исходящий

достаточно заблочить в любую сторону :)

>достаточно заблочить в любую сторону

если первым правилом стоит -m state с ESTABLISHED - не достаточно )))

скорее всего такие пакеты попадут в NEW а не ESTABLISHED, доверю тебе это проверить :)

если они являются ответом на исходящий трафик с этого хоста - то тогда в ESTABLISHED - проверено! :)