Mira lo que hace de verdad tu firewallSee what your firewall actually does

table inet filter {
  chain input {
    type filter hook input priority filter; policy drop;
    ct state established,related counter accept
    tcp dport { 80, 443 } counter accept
    ip saddr 10.10.0.0/24 tcp dport 443 acceptno puede casar jamáscan never match
  }
}

Todo lo que la última regla aceptaría, la de encima ya lo aceptó. Aquí, con cuatro reglas, se ve. Ahora ponla en la línea 411 de 800, detrás de dos jump, en una tabla que heredaste. Nada está roto, nft -c la da por buena — y la regla simplemente está muerta. Everything the last rule would accept, the one above already accepted. With four rules you can see it. Now put it at line 411 of 800, behind two jumps, in a table you inherited. Nothing is broken, nft -c is happy — and the rule is simply dead.

• Shadowed — una regla que ya decide otra anteriora rule an earlier one already decides
• Conflict — reglas DNAT solapadas con destinos distintosoverlapping DNAT rules with different targets
• Dormant — una tabla entera cargada y sin aplicarsea whole table loaded and not running
• Unbounded set — un set que llena el tráfico sin size ni timeouta set filled by traffic with no size or timeout
• Full set — un set al 90% de su size, tras el cual el kernel rechaza en silencioa set at 90% of its size, past which the kernel silently refuses
• Merge — reglas que solo difieren en el puerto, sustituibles por un setrules differing only by port, replaceable by one set lookup
• Unused — un set cargado que ninguna regla consumea set loaded that no rule consumes
• Hardening — una cadena que confía en conntrack y nunca descarta invalida chain that trusts conntrack but never drops invalid
• Resilience — una regla de log sin límite de tasaa log rule with no rate limit
• Cold — reglas que, según el kernel, no han casado nadarules the kernel says have matched nothing

$ efeflow lint fw.nft
fw.nft:103  error conflict   Conflicting DNAT targets for the same destination port
      ip saddr 198.51.100.0/24 tcp dport 8443 dnat to 10.20.0.31:443
fw.nft:71   warn  shadowed   Rule 11 is shadowed by rule 9 and can never match
      ip saddr 10.10.0.0/24 tcp dport 443 accept

  31 rules in 7 chains across 2 tables  ·  round-trip 75/75 = 100%
  1 error  2 warnings  3 hints

--json para lo que no es una persona, --fail-on error|warn|hint para mover el umbral. No sustituye a nft -c, y no lo pretende — donde el de verdad existe, se lo pasa.--json for what isn't a person, --fail-on error|warn|hint to move the threshold. It doesn't replace nft -c, and doesn't pretend to — where the real thing exists, it hands off to it.

Se descargaron 4.337 rulesets de repositorios públicos; los 3.038 que nft acepta se cargaron en una instancia de netfilter vacía y se listaron de vuelta. El nuestro se cargó igual, y el kernel no distingue los dos listados. El corpus encontró 18 fallos reales, y prueba también los hallazgos: por cada regla que el analizador da por muerta, el simulador construye un paquete y la comprueba. Discreparon cero. Trata lo que genera como un borrador que revisas; valida con nft -c antes de aplicar.4,337 rulesets were fetched from public repos; the 3,038 nft accepts were loaded into an empty netfilter instance and listed back — ours loaded the same way, and the kernel can't tell the two listings apart. The corpus found 18 real defects, and it proves the findings too: for every rule the analyser calls dead, the simulator builds a packet and checks it. They disagreed zero times. Treat what it generates as a draft you review; validate with nft -c before applying.