> мысль о том, что где-то можно хранить оригинальный набор правил вам не приходила в голову?

нет, я не идиот.

Это не "оригинальный набор правил", в этом все и дело. Если я изменю напрямую правила в чудо-фильтре в обход вашего "оригинального набора" (добавив себе отличную дырку в обход вашей системы проверок) - вы этого даже не увидите.  Потому что "оригинальный" - он в ядре. (лет через десять додумаются его "подписывать", а чо, щас так модно. Ну что же, и подпишем, вы ж как-то собираетесь им управлять? Значит и все ключики где-то недалеко лежат.)
Все то же самое еще и возможно из-за ошибок в коде чудо-транслятора, как вы это дебажить собрались? ("вы" - это к админам, если что, а не к гени[т]альным разработчикам еще-не-совсем-готового-для-альтернативно-одаренных хлама)

И при этом в таком виде, что проверить, какой он на самом деле - вы не можете, он не человекочитаем в принципе. Удобно для кульхацкеров, чо.

> вы совершенно не понимаете как устроен и работает netfilter

где уж нам, действительно.