> это обвязка над уже существующими методами управления файерволом

nftables - это userspace-фронтенд над подсистемой ядра nftables.
iptables - это тоже просто userspace-фронтенд над подсистемой ядра Netfilter.

А теперь докажи, что эти фронтенды (userspace-утилиты, обрати внимание) что-то настраивают "напрямую", а не просто "нижайше просят ядро применить такие-то настройки".

Твоя проблема в том, что ты почему-то думаешь, что "обвязка" и "альтернатива" -- это термины, которые могут противоречить или не противоречить друг другу. А я говорю, что это независимые категории, как "оранжевый" и "со вкусом апельсина".

Иными словами, в ядре две взаимопересекающиеся подсистемы: nftables и Netfilter. А конечных userspace-утилит для взаимодействия с ними -- как минимум три, и вот среди этих трех ТУЛЗОВ и предлагается выбирать:

firewalld REPLACES iptables as the default firewall management TOOL.

> Иначе файерволом можно и ansible назвать.

Можно, называй. Собственно, в NixOS есть свой собственный файрвол, тоже работающий поверх xxtables: networking.firewall.enable. И угадай что? Если ты хочешь перейти на "просто iptables", то тебе нужно... отключить файрвол! Отключить файрвол NixOS разумеется:

    networking.firewall.enable = false;

Таким образом, никто (НИКТО) кроме тебя не считает, что "файрволов ровно два".