nftables: базовый набор правил

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport { 22, 80, 443 } accept
  }
}

Перед применением на удалённой машине — nft -c -f и таймер отката.