Белый список разрешенных веб-адресов по маске подсети?
Никак. В мак оси для этого нет штатных инструментов.  И скорее всего даже в его штатном брандмауэре такого нет.  И да,  это заведомо провальная затея, блочить по ip адресам. Роскомпозору чтобы это понять понадобилось без малого 2 года. Надеюсь вам столько не понадобится
личный днс для ребенка настроить сможете ?
накатить локальную копию bind, которая бы ресолвила как вам надо

https://habr.com/ru/post/177649/
Как перенаправить все запросы на один адрес?

нужную подсеть оформите как зону для которой allow-transfer для внешнего ресолва
zone "128.10.in-addr.arpa" {  ... allow-transfer ... }