Un servidor Linux recién instalado no trae ninguna regla de firewall. Cada listener que arrancas queda accesible al instante desde todo internet. La solución es una base corta y bien entendida: default-deny en la entrada, permitir el tráfico established, y una allow-list explícita para los servicios que realmente ejecutas. Esta guía construye esa base en nftables regla por regla, explica las partes en las que todo el mundo se equivoca (ICMP e IPv6), muestra la misma política en ufw y firewalld, y explica cómo evitar quedarte fuera de tu propio servidor, además de la trampa de la publicación de puertos en Docker.

Si tu servidor ejecuta una distro Debian, Ubuntu o de la familia RHEL actual, tus reglas de «iptables» casi con toda seguridad ya se ejecutan dentro de nftables. El comando iptables es un shim de compatibilidad desde 2019. La verdadera pregunta no es cuál gana; es si vas a seguir escribiendo reglas en una sintaxis legacy encima del nuevo motor. Esta guía cubre lo que realmente cambió a nivel arquitectónico, una comparación de sintaxis lado a lado, lo que dicen honestamente los datos de rendimiento, y una ruta de migración que no rompe Docker ni te deja fuera.