Настройки firewall nftables (firewall.toml)

[[ports]]
numbers = [22]
directions = ["in", "out"]
protocols = ["tcp"]
action = "accept"

[[ports]]
numbers = [80,443]
directions = ["in", "out"]
protocols = ["tcp"]
action = "accept"

[[ports]]
numbers = [53]
directions = ["in", "out"]
protocols = ["tcp", "udp"]
action = "accept"

[[ports]]
numbers = [22]
directions = ["in", "out"]
protocols = ["tcp"]
action = "accept"

[[ports]]
numbers = [22]
directions = ["in"]
protocols = ["tcp"]
action = "drop"

[[ports]]
numbers = [22]
directions = ["out"]
protocols = ["tcp"]
action = "accept"

[[ports]]
numbers = [80,443]
directions = ["in", "out"]
protocols = ["tcp"]
action = "accept"
limit_rate = "10/second"

Указываем IP адреса, которые надо разрешить или запретить. [[ips]] можно указывать неограниченное количество групп.

[[ips]]
ips - Список IP адресов (обязательное поле)
directions - Входящий (in), исходящий трафик (out) (обязательное поле)
action - Действие: accept, drop или reject (обязательное поле)
ports - Номера портов (не обязательное поле)
protocols - Протокол: tcp, udp (не обязательное поле)
limit_rate - Указываем ограничения если будет нужно (не обязательное поле)

ips - можно указывать одно или несколько IP адресов, но правила будут создаваться отдельно для каждого адреса.
ports - можно указывать одно или несколько портов, но правила будут создаваться отдельно для каждого порта.
directions - если указываем in и out, то создаться каждое правило отдельно в своей цепочке.
protocols - если указано tcp и udp, то создаться каждое правило отдельно для каждого протокола.

Внимание:
Если protocols не указан, но указан ports, то правила будут добавляться с протоколом TCP. protocols работает вместе с ports. Если protocols указан, а ports нет, то добавится правило без учёта этих полей.

action:
accept - разрешить
drop - блокировать молча
reject - блокировка с обратной связью

limit_rate - устанавливайте его в соответствии с документацией nftables (limit rate).

[[ips]]
ips = ["192.168.1.1", "fe80::260:8ff:fe52:f9d8"]
action = "accept"
directions = ["in", "out"]
protocols = ["tcp", "udp"]
ports = ["80"]
limit_rate = "10/second"

[[ips]]
ips = ["192.168.1.2"]
action = "drop"
directions = ["in"]

[[ips]]
ips = ["192.168.1.2"]
action = "drop"
directions = ["in"]

icmp_in = true

icmp_in = false

icmp_in_rate = "1/second"

icmp_in_rate = "0"

icmp_in_rate = "3/second"

icmp_out = true

icmp_out = false

icmp_out_rate = "1/second"

icmp_out_rate = "0"

icmp_out_rate = "3/second"

icmp_timestamp_drop = true

icmp_timestamp_drop = false

enable = true

enable = false

icmp_strict = true

icmp_strict = false

saves_rules = true

saves_rules = false

saves_rules_path = "/etc/nftables.conf"

dns_strict = true

dns_strict = false

dns_strict_ns = true

dns_strict_ns = false

packet_filter = true

packet_filter = false

default_allow_input = true

default_allow_input = false

default_allow_output = true

default_allow_output = false

default_allow_forward = true

default_allow_forward = false

input_drop = "drop"

input_drop = "reject"

output_drop = "drop"

output_drop = "reject"

forward_drop = "drop"

forward_drop = "reject"

table_name = "shield"

chain_input_name = "input"

chain_output_name = "output"

chain_forward_name = "forward"