Ограничение запросов от одного IP (nft)

Никак не могу разобраться с nftables, возможно кто то поможет добиться желаемого результата.

Я хочу ограничить доступ к серверу тем кто создает больше 10 запросов в секунду на 1 IP (port 80, 443)

Нашел следующее правило

nft add table ip filter
nft add chain ip filter input { type filter hook input priority 0 \; }
nft add set ip filter denylist { type ipv4_addr \; flags dynamic, timeout \; timeout 5m \; }
nft add rule ip filter input ip protocol tcp ct state new, untracked limit rate over 10/second add @denylist { ip saddr }
nft add rule ip filter input ip saddr @denylist drop

Сайт работает на 2х серверах, база данных размещена на отдельном сервере, при такой настройке ntf блочит IP сервера базы данных, а не IP пользователя.

Как можно указать порты или список белых IP адресов, не могу никак разобраться с этим....