Dziękuję za odpowiedź. Niestety wyskakuje błąd.
root@LEDE:~# iptables -I FORWARD -p tcp --dport 8200 -s ! 192.168.4.27 -d 192.168.4.40 -j REJECT
Bad argument `192.168.4.27'
Try `iptables -h' or 'iptables --help' for more information.

Natomiast bez wykrzyknika przyjmuje:
root@LEDE:~# iptables -I FORWARD -p tcp --dport 8200 -s 192.168.4.27 -d 192.168.4.40 -j REJECT

root@LEDE:~# iptables -h
iptables v1.4.21

Usage: iptables -[ACD] chain rule-specification [options]
       iptables -I chain [rulenum] rule-specification [options]
       iptables -R chain rulenum rule-specification [options]
       iptables -D chain rulenum [options]
       iptables -[LS] [chain [rulenum]] [options]
       iptables -[FZ] [chain] [options]
       iptables -[NX] chain
       iptables -E old-chain-name new-chain-name
       iptables -P chain target [options]
       iptables -h (print this help information)

Commands:
Either long or short options are allowed.
  --append  -A chain            Append to chain
  --check   -C chain            Check for the existence of a rule
  --delete  -D chain            Delete matching rule from chain
  --delete  -D chain rulenum
                                Delete rule rulenum (1 = first) from chain
  --insert  -I chain [rulenum]
                                Insert in chain as rulenum (default 1=first)
  --replace -R chain rulenum
                                Replace rule rulenum (1 = first) in chain
  --list    -L [chain [rulenum]]
                                List the rules in a chain or all chains
  --list-rules -S [chain [rulenum]]
                                Print the rules in a chain or all chains
  --flush   -F [chain]          Delete all rules in  chain or all chains
  --zero    -Z [chain [rulenum]]
                                Zero counters in chain or all chains
  --new     -N chain            Create a new user-defined chain
  --delete-chain
            -X [chain]          Delete a user-defined chain
  --policy  -P chain target
                                Change policy on chain to target
  --rename-chain
            -E old-chain new-chain
                                Change chain name, (moving any references)
Options:
    --ipv4      -4              Nothing (line is ignored by ip6tables-restore)
    --ipv6      -6              Error (line is ignored by iptables-restore)
[!] --protocol  -p proto        protocol: by number or name, eg. `tcp'
[!] --source    -s address[/mask][...]
                                source specification
[!] --destination -d address[/mask][...]
                                destination specification
[!] --in-interface -i input name[+]
                                network interface name ([+] for wildcard)
--jump -j target
                                target for rule (may load target extension)
  --goto      -g chain
                              jump to chain with no return
  --match       -m match
                                extended match (may load extension)
  --numeric     -n              numeric output of addresses and ports
[!] --out-interface -o output name[+]
                                network interface name ([+] for wildcard)
  --table       -t table        table to manipulate (default: `filter')
  --verbose     -v              verbose mode
  --wait        -w              wait for the xtables lock
  --line-numbers                print line numbers when listing
  --exact       -x              expand numbers (display exact values)
[!] --fragment  -f              match second or further fragments only
  --modprobe=<command>          try to insert modules using this command
  --set-counters PKTS BYTES     set the counter during insert/append
[!] --version   -V              print package version.

Zrestartowałem router i wpisałem od nowa:
iptables -I FORWARD -p tcp --dport 8200 ! -s 192.168.4.27 -d 192.168.4.40 -j REJECT
iptables -I FORWARD -p udp --dport 1900 ! -s 192.168.4.27 -d 192.168.4.40 -j REJECT

Niestety dalej działa dostęp z laptopa. Laptop ma adres:
192.168.4.51

Np. jak na laptopie wpiszę w przeglądarkę adres:
http://192.168.4.40:8200/
To pojawia mi się w html tabela podłączonych urządzeń. Moim zdaniem ta strona nie powinna się wczytywać z laptopa bo pochodzi z portu 8200 TCP.
Tymczasem pojawia się tabela jak niżej i jest w niej m.in. laptop z adresu ....51, na którym odtwarzam z miniDLNA (co chciałem zablokować):

http://192.168.4.40:8200/ - wyświetla się w przeglądarce www strona:
Media library
Audio files    0
Video files    658
Image files    0
Connected clients
ID    Type    IP Address    HW Address    Connections
0    Sony Bravia    192.168.4.17    54:53:ED:69:A3:D8    0
1    Generic DLNA 1.5    192.168.4.51    D8:FC:93:AA:1D:D8    1
2    Generic UPnP 1.0    192.168.4.50    EC:F4:BB:2F:62:2F    0
3    Generic UPnP 1.0    192.168.4.41    B0:05:94:FC:F0:23    0
4    BubbleUPnP    192.168.4.26    84:38:38:BD:FB:A4    0
5    Generic DLNA 1.5    192.168.4.81    70:4D:7B:52:BB:EE    0
6    Generic DLNA 1.5    192.168.4.31    98:E7:F5:3C:81:C6    0
7    Generic UPnP 1.0    192.168.4.53    AC:C1:EE:31:61:87    0
8    BubbleUPnP    192.168.4.27    A8:0C:63:5A:67:94    0

Laptop o adresie .51 zrestartowany, podłączony przez WiFi do routera.

-

na routerze: ( pojawia się niżej "HUAWEI_MATE_9.lan". Jest to telefon z którego jedynie ma być dostęp.
root@LEDE:~# ping HUAWEI_MATE_9.lan
PING HUAWEI_MATE_9.lan (192.168.4.27): 56 data bytes
64 bytes from 192.168.4.27: seq=0 ttl=64 time=310.809 ms
)

root@LEDE:~# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             /* !fw3 */
input_rule  all  --  anywhere             anywhere             /* !fw3: user chain for input */
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED /* !fw3 */
syn_flood  tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN /* !fw3 */
zone_lan_input  all  --  anywhere             anywhere             /* !fw3 */
zone_wan_input  all  --  anywhere             anywhere             /* !fw3 */

Chain FORWARD (policy DROP)
target     prot opt source               destination
REJECT     udp  -- !HUAWEI_MATE_9.lan    192.168.4.40         udp dpt:1900 reject-with icmp-port-unreachable
REJECT     tcp  -- !HUAWEI_MATE_9.lan    192.168.4.40         tcp dpt:8200 reject-with icmp-port-unreachable
forwarding_rule  all  --  anywhere             anywhere             /* !fw3: user chain for forwarding */
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED /* !fw3 */
zone_lan_forward  all  --  anywhere             anywhere             /* !fw3 */
zone_wan_forward  all  --  anywhere             anywhere             /* !fw3 */
reject     all  --  anywhere             anywhere             /* !fw3 */

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             /* !fw3 */
output_rule  all  --  anywhere             anywhere             /* !fw3: user chain for output */
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED /* !fw3 */
zone_lan_output  all  --  anywhere             anywhere             /* !fw3 */
zone_wan_output  all  --  anywhere             anywhere             /* !fw3 */

Chain forwarding_lan_rule (1 references)
target     prot opt source               destination

Chain forwarding_rule (1 references)
target     prot opt source               destination

Chain forwarding_wan_rule (1 references)
target     prot opt source               destination

Chain input_lan_rule (1 references)
target     prot opt source               destination

Chain input_rule (1 references)
target     prot opt source               destination

Chain input_wan_rule (1 references)
target     prot opt source               destination

Chain output_lan_rule (1 references)
target     prot opt source               destination

Chain output_rule (1 references)
target     prot opt source               destination

Chain output_wan_rule (1 references)
target     prot opt source               destination

Chain reject (3 references)
target     prot opt source               destination
REJECT     tcp  --  anywhere             anywhere             /* !fw3 */ reject-with tcp-reset
REJECT     all  --  anywhere             anywhere             /* !fw3 */ reject-with icmp-port-unreachable

Chain syn_flood (1 references)
target     prot opt source               destination
RETURN     tcp  --  anywhere             anywhere             tcp flags:FIN,SYN,RST,ACK/SYN limit: avg 25/sec burst 50 /* !fw3 */
DROP       all  --  anywhere             anywhere             /* !fw3 */

Chain zone_lan_dest_ACCEPT (4 references)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             /* !fw3 */

Chain zone_lan_forward (1 references)
target     prot opt source               destination
forwarding_lan_rule  all  --  anywhere             anywhere             /* !fw3: user chain for forwarding */
zone_wan_dest_ACCEPT  all  --  anywhere             anywhere             /* !fw3: forwarding lan -> wan */
ACCEPT     all  --  anywhere             anywhere             ctstate DNAT /* !fw3: Accept port forwards */
zone_lan_dest_ACCEPT  all  --  anywhere             anywhere             /* !fw3 */

Chain zone_lan_input (1 references)
target     prot opt source               destination
input_lan_rule  all  --  anywhere             anywhere             /* !fw3: user chain for input */
ACCEPT     all  --  anywhere             anywhere             ctstate DNAT /* !fw3: Accept port redirections */
zone_lan_src_ACCEPT  all  --  anywhere             anywhere             /* !fw3 */

Chain zone_lan_output (1 references)
target     prot opt source               destination
output_lan_rule  all  --  anywhere             anywhere             /* !fw3: user chain for output */
zone_lan_dest_ACCEPT  all  --  anywhere             anywhere             /* !fw3 */

Chain zone_lan_src_ACCEPT (1 references)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             ctstate NEW,UNTRACKED /* !fw3 */

Chain zone_wan_dest_ACCEPT (2 references)
target     prot opt source               destination
DROP       all  --  anywhere             anywhere             ctstate INVALID /* !fw3: Prevent NAT leakage */
ACCEPT     all  --  anywhere             anywhere             /* !fw3 */

Chain zone_wan_dest_REJECT (1 references)
target     prot opt source               destination
reject     all  --  anywhere             anywhere             /* !fw3 */

Chain zone_wan_forward (1 references)
target     prot opt source               destination
forwarding_wan_rule  all  --  anywhere             anywhere             /* !fw3: user chain for forwarding */
zone_lan_dest_ACCEPT  esp  --  anywhere             anywhere             /* !fw3: @rule[7] */
zone_lan_dest_ACCEPT  udp  --  anywhere             anywhere             udp dpt:isakmp /* !fw3: @rule[8] */
ACCEPT     all  --  anywhere             anywhere             ctstate DNAT /* !fw3: Accept port forwards */
zone_wan_dest_REJECT  all  --  anywhere             anywhere             /* !fw3 */

Chain zone_wan_input (1 references)
target     prot opt source               destination
input_wan_rule  all  --  anywhere             anywhere             /* !fw3: user chain for input */
ACCEPT     udp  --  anywhere             anywhere             udp dpt:bootpc /* !fw3: Allow-DHCP-Renew */
ACCEPT     icmp --  anywhere             anywhere             icmp echo-request /* !fw3: Allow-Ping */
ACCEPT     igmp --  anywhere             anywhere             /* !fw3: Allow-IGMP */
ACCEPT     all  --  anywhere             anywhere             ctstate DNAT /* !fw3: Accept port redirections */
zone_wan_src_REJECT  all  --  anywhere             anywhere             /* !fw3 */

Chain zone_wan_output (1 references)
target     prot opt source               destination
output_wan_rule  all  --  anywhere             anywhere             /* !fw3: user chain for output */
zone_wan_dest_ACCEPT  all  --  anywhere             anywhere             /* !fw3 */

Chain zone_wan_src_REJECT (1 references)
target     prot opt source               destination
reject     all  --  anywhere             anywhere             /* !fw3 */
root@LEDE:~#

Skopiowałem z Twojego postu wyżej i tak wpisujałem. W połączeniu ssh. Jako root. Niestety dostęp np. z laptopa do miniDLNA ciągle działa.

Tuner połączony przewodowo. Laptop bezprzewodowo.