Есть задача, обеспечить доступ извне интернета с определенных ip-ов на 80 порт сервака к которому подключен модем. Сам доступ я настроил, и теперь хочу чтобы вся другая сетевая активность через этот модем как из инета так и в инет, была заблокирована. Т.е. надо запретить ВСЁ, кроме определенных правил. Не совсем понятно как работают эти "фильтры", т.е. играет ли роль очередность команд разрешения/блокировки? Если, например что-то типа

"inbound from any to any DENY"
"outbound from any to any DENY"
"inbound from 212.3.156.123:* to my_ip:80 ACCEPT "

то так прокатит? или же первое правило под которое попадает сводит на нет всё остальные правила inbound, которые идут далее и нужно всё оформлять в виде:

"inbound from 212.3.156.123:* to my_ip:80 ACCEPT "
"inbound from any to any DENY"
"outbound from any to any DENY"

Или же по умолчанию всё уже заблокировано и нужно только разрешить интересующие меня адреса:порты?

В мануале этот момент как-то совсем не освещен.

Корректный первый вариант. Первым правилом необходимо запретить доступ всем, а последующими указать разрешенные IP.