Увидел правила IPTABLES, зачем так делают?

Первое правило пропускает все пакеты со стейтом NEW. Второе правило дропает все пакеты на интерфейс wan_ip. То есть получается, пропускается отовсюду кроме wan_ip.

Что правила делают, я в курсе. )))
Зачем так сделано, нет…

Это обычный домашний роутер с одним внешним интерфейсом.

Да хрень какую-то сделали. Вот здесь примеры посмотри https://www.frozentux.net/documents/iptables-tutorial/

Как оно работает я представляю.
Подумал, что, может, это, какой-то хитрый ход, который я не знаю)

Похоже на стандартный запрет доступа к сервисам роутера, не из локалки (например, по 443, 22, 21).

Если на роутере будет поднят VPN-сервер, то такой DROP вверху списка, будет мешать.

Зачем так сделано, нет…

Ну обычно наружку наглухо закрывают на всех роутерах.

Сделана какая-то фигня. Разве что для udp/icmp что-то даст. Типа первый пакет всегда пропускаем — dns-запрос, первый пинг...

Но, стиль написания правил разный, возможно второе правило вписал кто-то другой, не особо задумываясь.

индусы-отсорсеры за 3 копейки и не такое напишут

По идее более корректно надо писать следующее

#### Первее всех - следующие два(если логиировать, то три) правила. 
#   Нулевое - если нужно логирование
iptables -A INPUT -j LOG --log-prefix "INVALID: " -m state --state INVALID 
#   Первое - сброс поврежденных
iptables -A INPUT -j DROP -m state --state INVALID 
#   Второе - разрешаем последующие/зависимые пакеты с ранее разрешенных соединений
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED 

#### а вот дальше уже творим что хотим с трафиком.
# блокируем всё что пришло на "внешний" адрес "wan-ip"
iptables -A INPUT -d wan-ip -j DROP  
# и только потом, разрешаем все входящие к роутеру
iptables -A INPUT -j ACCEPT -m state --state NEW  

у вас тоже какая-то простыня. вот как должно быть:

iptables -P INPUT DROP
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i $lan_interface -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT