психанул

chain input {
               type filter hook input priority filter; policy drop;
               ip protocol icmp accept
               ip saddr 10.10.0.0/24 ip daddr 0.0.0.0/0 accept
               tcp dport { 22, 56, 80, 81, 443, 1194, 8080 } accept
               udp dport { 56, 1194 } accept
               ip daddr 127.0.0.0/8 accept
               ip daddr 127.0.0.53 accept
               ip daddr 127.0.0.0/8 accept
               udp dport 53 accept
               tcp dport 53 accept
       }

и все равно не работает )

Добавь в начало INPUT правило, разрещающее ESTABLISHED соединения.
Ну или sport 53 вместо dport 53.

Ответы же от DNS-рекурсора должны как-то тоже разрешаться, а не только запросы.

эм... сек

А это кто вообще?

Пилять... Никак не переползу... :(

чет не помогает

nft add rule inet filter input ct state established accept

заработало

Ну и слава б*гу.

established - это типа сами на себя соединения ?

Нет. Это "установленные".

Ну типа чтоб ответные пакеты в соединениях под это правило попали.

ааа

понял спс

ct state established accept
               ip saddr 127.0.0.0/8 accept

да и пойдет )