Le chapitre raisonne sur un pare-feu placé entre des zones. Ici, le pare-feu est celui de srv-lin-01 lui-même, et il juge ce qui entre dans la machine. Sous Linux, c'est nftables, commandé par nft (avec sudo) :

• les règles vivent dans une table (nft add table inet filtre : inet couvre IPv4 et IPv6), dans une chaîne rattachée à l'entrée de la machine, qui porte la politique par défaut du chapitre : nft add chain inet filtre entree '{ type filter hook input priority 0; policy accept; }', ou policy drop pour refuser tout ce qu'aucune règle n'accepte ;
• nft add rule inet filtre entree ... ajoute une règle en bas de la chaîne, nft insert rule en haut. Comme dans le chapitre, elles se lisent de haut en bas, et la première qui correspond décide ;
• une règle nomme ce qu'elle reconnaît, puis l'action (accept ou drop) : tcp dport 443 (le port visé), ip saddr 10.20.1.0/24 (l'origine), iif lo (l'interface par laquelle la machine se parle à elle-même), ct state established,related (les paquets d'une connexion déjà acceptée : c'est le suivi de connexion du chapitre) ;
• nft list ruleset montre tout ; nft -a list ruleset ajoute le numéro (handle) de chaque règle, que nft delete rule inet filtre entree handle 7 retire ; nft flush ruleset efface tout.

Pour essayer comme le ferait un poste, la machine simule les deux réseaux : sudo ip netns exec reseau-postes nc -zv -w 2 10.20.1.31 443 tente une connexion depuis un poste du siège (10.20.1.57), reseau-admin depuis le poste d'administration (10.20.90.12). Sans ip netns exec, nc -zv -w 2 10.20.90.40 873 essaie depuis srv-lin-01 lui-même.

Sur un vrai serveur administré à distance, poser policy drop avant d'avoir accepté sa propre connexion SSH coupe la session en cours. Ici, le terminal est la console de la machine : il ne passe pas par le réseau.