Ограничение зоны докера одним IP-адресом с помощью firewall-cmd

Я пытаюсь ограничить открытые порты докера одним внешним IP-адресом.

      docker (active)
  target: ACCEPT
  icmp-block-inversion: no
  interfaces: br-27117bc1fd93 br-2905af95cf3a br-53c93737f17d br-69f2fcdc6f01 br-b4b3347f7b9c br-b932d5e56d55 br-dbc9429c2b1f docker0
  sources: 
  services: 
  ports: 
  protocols: 
  forward: no
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: enp3s0
  sources: 
  services: 
  ports: 
  protocols: 
  forward: no
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

work (active)
  target: default
  icmp-block-inversion: no
  interfaces: 
  sources: XX.XXX.XXX.XXX
  services: cockpit dhcpv6-client http https portainerweb ssh
  ports: 
  protocols: 
  forward: no
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 

В настоящее время рабочая зона ведет себя так, как я хочу (трафик к службам разрешен только для исходного IP-адреса), и я хочу, чтобы зона докера вела себя так же.

Проблема в том, что я не могу добавить тот же исходный IP-адрес в зону докера.

Есть ли очевидный способ, который я пропустил, или мне нужно начать добавлять расширенные правила, чтобы добиться желаемого поведения?