Merci pour la digression.
Je retiens ça 
Je remets donc en place le pare feu et me penche (modestement) sur iptables… Si j’utilise des règles comme ça (Merci à Pare-feu IPv4/IPv6, versions bureau et serveur), je pense obtenir « l’équivalent » de ce que j’avais avec gufw, cad quelque chose de très simple ouvert en sortie et n’autorisant en entrée que les ports ouverts manuellement (avec les ports SMB, CUPS et RYGEL restreints au lan). Me trompe-je ?
#!/bin/sh
#### Nettoyage ####
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X
#### IPV4 ####
# droper l'input et le forward par défaut, accepter l'output
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
# laisser l'interface lo (loop) tranquille
iptables -A INPUT -i lo -j ACCEPT
# maintenir les connexions établies
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# accepter en entrée le ping (icmp)
#iptables -A INPUT -p icmp --icmp-type echo-request -m conntrack --ctstate NEW -m limit --limit 1/s --limit-burst 1 -j ACCEPT
# connexions sur les ports nécessaires
#### Transmission
iptables -A INPUT -p udp --dport XXXX -j ACCEPT
iptables -A INPUT -p tcp --dport XXXX -j ACCEPT
#### CUPS
iptables -A INPUT -s 192.168.1.1/24 -p udp --dport 631 -j ACCEPT
iptables -A INPUT -s 192.168.1.1/24 -p tcp --dport 631 -j ACCEPT
#### Rygel
iptables -A INPUT -p udp -s 192.168.1.1/24 --dport 1900 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.1.1/24 --dport 1900 -j ACCEPT
#### VNC
iptables -A INPUT -p tcp --dport XXXX -j ACCEPT
#### SSH
iptables -A INPUT -p tcp --dport XXXX -j ACCEPT
#### SMB
iptables -A INPUT -s 192.168.1.1/24 -p udp -m multiport --dport 137,138 -j ACCEPT
iptables -A INPUT -s 192.168.1.1/24 -p tcp -m multiport --dport 139,445 -j ACCEPT
#### MySQL
iptables -A INPUT -p tcp --dport XXXX -j ACCEPT
#### Persistence (via iptables.service) ####
iptables-save > /etc/iptables/iptables.rules