О портах

если порт не слушает ни один процесс, то подключаться по сути некуда/не к чему
почитай иди про TCP/UDP

В firewall'e открыт 22 порт для openssh - где гарантия, что к этому порту нельзя подключиться для других целей?

По дефолту 22-ой слушает только ssh.

Если гарантии нет, то как можно зарезервировать 22 только для слушающего openssh сервера?

Если сервер слушает 22-порт, то другим программам его слушать не дадут. Если что-то запустится раньше openssh-сервера и займёт 22 порт, то iptables здесь не поможет. SeLinux, например, позволяет разрешить слушать 22 порт только для sshd, но он сложный, лучше даже про него не знать.

ufw это надстройка над iptables, смотрите полный список правил (вывод iptables-save). Подозреваю, что там есть правило, разрешающее весь трафик через lo-интерфейс, так как его обычно не принято блокировать. А nmap'ом себя сканировать надо через сеть, а не изнутри (по loopback-интерфейсу).

Спасибо большое, really useful. Про nmap не знал. В сети мало что понимаю. O:-)