ОС какая?

Ванга мод он: попробуй

systemctl stop firewalld
systemctl disable firewalld

CentOS 7

systemctl stop firewalld

systemctl disable firewalld

Это уже делал

Но при перезагрузке всё по-новой - откуда-то грузятся какие-то непотребные правила

Непотребные - это какие?

# Generated by iptables-save v1.4.21 on Wed Nov 15 15:28:49 2017
*mangle
:PREROUTING ACCEPT [9398:7541139]
:INPUT ACCEPT [9398:7541139]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8115:1203340]
:POSTROUTING ACCEPT [8385:1245677]
-A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
COMMIT
# Completed on Wed Nov 15 15:28:49 2017
# Generated by iptables-save v1.4.21 on Wed Nov 15 15:28:49 2017
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [653:62525]
:POSTROUTING ACCEPT [653:62525]
-A POSTROUTING -s 192.168.122.0/24 -d 224.0.0.0/24 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 -d 255.255.255.255/32 -j RETURN
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p tcp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -p udp -j MASQUERADE --to-ports 1024-65535
-A POSTROUTING -s 192.168.122.0/24 ! -d 192.168.122.0/24 -j MASQUERADE
COMMIT
# Completed on Wed Nov 15 15:28:49 2017
# Generated by iptables-save v1.4.21 on Wed Nov 15 15:28:49 2017
*filter
:INPUT ACCEPT [9400:7541404]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8117:1203605]
-A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT
-A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT
-A FORWARD -d 192.168.122.0/24 -o virbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT
-A FORWARD -i virbr0 -o virbr0 -j ACCEPT
-A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
-A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
-A OUTPUT -o virbr0 -p udp -m udp --dport 68 -j ACCEPT
COMMIT
# Completed on Wed Nov 15 15:28:49 2017

Но при перезагрузке всё по-новой - откуда-то грузятся какие-то непотребные правила.

Вполне может какой-нибудь особо умный сервис подгружать. Емнип, либвирт что-то такое делает, если используется NAT для вм.

Libvirt. Это же он рисует возможность выхода в инет с виртуалок

Виртуальных машин нет, VMware, virtualbox - не установлены, был установлен пакет open-vm-tools. Удалил, перезагрузился. Та же песня.

Судя по всему, в CentOS 7 libvirt есть в дефолтной инсталляции, даже если вы его не устанавливали специально: https://www.thegeekdiary.com/centos-rhel-67-how-to-disable-or-delete-virbr0-interface/

ставил vm host при установке или позднее kvm устанавливал

Нет его в дефолтной инсталляции, просто кто-то галок понатыкал в инсталляторе.

Дело решенное) спасибо!

Всем спасибо за помощь!

Вы были правы.

Решил так:

systemctl stop libvirtd

systemctl disable libvirtd

Теперь главное - не забыть что и как отключил, а то появится ещё какая-нибудь новая тема)

что за дебильная привычка вырезать куски лога: ума не хватило правило целиком показать в стартовом посте, а не оставлять 53 -j ACCEPT.