Как я могу регистрировать пакеты, отброшенные политикой в ​​nftables?

Похоже, что правила выполняются по порядку. Политика капля; тогда у вас есть все необходимые вам правила принятия. Теперь достаточно иметь

log

в отдельной строке в конце.

Что ж, я собираюсь предположить, что вы также хотите знать, КАКОЙ тип пакета регистрируется в конце вашей цепочки nftables.

Я бы добавил одну строку в конец вашей цепочки, пример входной цепочки приведен ниже:

table filter {
  ...
  chain input {
    type filter hook input priority 0; policy drop;
    ...
    # All my rules go here

    ...
    # Pick one that suits your needs best
    counter comment "total unfiltered input packets"
    log            # simple detail goes into the log
    log flags all  # extra details go into the log
    log flags all prefix "GOTCHA!: " # parseable keyword
    log flags all counter  # redundant but example
    # drop; # this is redundant policy is drop already
  }
  ...
}

Добавьте 'log flags all log prefix "PREFIX" counter drop' в качестве последней строки в разделе ввода вашего набора правил. Пакеты, которые обычно отбрасываются политикой ввода по умолчанию, будут регистрироваться и отбрасываться этим (последним) правилом. Да, это избыточно, однако избыточность тривиальна.