Где хранятся дефолтные правила для фаервола (Debian)

Запущены демоны, использующие эти порты, лул.

netstat

вроде как не отменяли.

дефолтные правила - отсутствие правил, всё разрешено

вроде очевидно должно быть

Нет правил — можно всё. И так умолчально. Для сохранения правил и автоматического подргуза при буте есть отдельный пакет iptables-save.

Я так всю жизнь и думал. Но меня смущает вывод нмапа и нетстата.

nmap -sT -O localhost

Not shown: 998 closed ports

И что тебя смущает? Если на порту никто не слушает — он «закрыт». FW тут ортогонален.

Отвечаю на заданный в теме вопрос: в ядре.

Как это работает? Ядро по-умолчанию разрешает все подключения (см. --policy). «Открытые» при этом порты, на которых сделали bind() и accept() пользовательские программы, а «закрытые» - на которые такого не сделали. Кстати, закрытый через -j DROP порт будет отбражаться не как «закрытый» (потому что на TCP ACK сразу пришёл ответ FIN), а как «filtered», потому что ответа не пришло вовсе. Даже FIN.

проще поставить shorewall

Понял, спасибо