すでにホワイトリストにあるIP拒否

しばらく前に私が設定した

firewall-cmd --permanent --zone=public --add-source=170.8.0.0/18

今日は逃げました。

firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='170.8.1.1' reject";   

1. どちらが誰よりも優位にあるのでしょうか？
2. 順番が変わったらどうなりますか？まず、IPを拒否してからホワイトリストの範囲に追加します。