> Нужна ли вообще эта строчка в конце правил?нет, потому что это неправильная строчка. Правильная выглядит как-то так:
-A FORWARD -p tcp -j REJECT --reject-with icmp-admin-prohibited
-A FORWARD -j DROP (или -P FORWARD DROP)
(совсем правильная - отдельное правило для udp с rate-limiter)
и этими строчками должен всегда кончаться набор правил для INPUT и FORWARD.
но я все же рекомендую прочитать man iptables, и научиться их писать самому, без всяких интуитивно-приятных уродцев, которые даже gratious-deny не умеют, оказывается, правильно реализовать.
> Правильней будет разобраться почему она там появляется
она там появляется, потому что без нее твой файрвол превращается в тыкву, начиная форвардить что попало куда попало или становится крайне трудноотлаживаемым (если таки -P DROP), и добавляет ее туда твой firewalld. После чего ты лезешь поверх него руками, что тоже неправильно.
Нужно либо уж привыкать жить "как в винде", и искать как настраивается firewalld не лазя в iptables в обход инструмента управления, либо таки научиться ими пользоваться. Второе может оказаться зряшной тратой времени, потому что завтра их таки выпилят и заменят неадекватным уродцем или даже двумя сразу. К тому же у нас еще есть доскер и куча другого интуитивно-приятного хлама, лазящего в фильтры в обход админа системы, потому что их авторы обоснованно считают его тупырем, неспособным их настроить руками.
С -I - да, будет работать, но не понимая что делаешь, ты можешь понаделать дырок. А понимания у тебя, как я погляжу, нет.
