Firewall con nftables (lo mínimo)

Ver las reglas actuales:

sudo nft list ruleset

Una base: denegar entrada por defecto, permitir lo ya establecido, SSH y la red local. En /etc/nftables.conf:

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    ip saddr 192.168.1.0/24 accept
    tcp dport 22 accept
    ip protocol icmp accept
  }
}

sudo nft -f /etc/nftables.conf
sudo systemctl enable nftables

Abre SSH en las reglas antes de aplicar, o te quedas fuera. Para ufw, ver la nota de ufw.