Только входной блок 0.0.0.0/0 работает во входной сетевой политике

Question

Политика yaml:

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: web-deny-all
spec:
  podSelector: {}
  ingress:
  - from:
    - ipBlock:
        cidr: 77.73.xxx.xxx/32
    - ipBlock:
        cidr: 37.233.xxx.xxx/32
    - ipBlock:
        cidr: 85.200.xxx.xxx/32

не работает (проверено в 3 разных местах). 0.0.0.0/0 работает. 85.200.0.0/16 оленья кожа. Я потерян, это тривиально, но не работает.

https://kubernetes.io/docs/reference/generated/kubernetes-api/v1.12/