Я пытался вставить код в /etc/nftables.conf, но там он не работает. Куда мне тогда вставлять эти команды?

Похоже, я задал не тот вопрос, и приведённые выше решения можно не учитывать. Даже не волнуйтесь насчёт них. Я попробую сформулировать вопрос проще.  
Я создал две правила фаервола в группе и применил их ко всем своим ВМ.  
Название группы: Block LAN  
Правило 1: out - 192.168.1.1 / fd88::1 - ACCEPT  
Правило 2: out - 192.168.1.1/24 / fd88::/64 - REJECT  

Хотя второе правило работает — ВМ теперь не могут обращаться к другим устройствам в сети, — при тестировании соединения оно просто “зависает”, вместо того чтобы сразу вернуть REJECT, как указано в правиле.  
Я не понимаю, как заставить правило REJECT срабатывать мгновенно, чтобы сразу получать ответ о блокировке, а не ждать тайм-аута в несколько минут.  

Буду рад, если кто-то ещё сможет проверить это распространённое правило фаервола.

Для исходящих соединений это должно работать с правилами nftables, которые я приводил выше. Для входящих — нет. Причина в том, что ICMP-пакет с «Destination Unreachable», который генерируется фаерволом, отбрасывается, потому что у него CT состояние invalid. Правило, которое я указал выше, временно решает эту проблему, исключая все ICMP «Destination Unreachable» из conntrack. Мы также недавно объединили патч, который должен устранить эту проблему [1], но он ещё не выпущен.
[1] https://git.proxmox.com/?p=proxmox-firewall.git;a=commit;h=1e16cc8827545ab209448f3f1933a0422f5b9dda

Я также протестирую это, когда это станет доступно. Кроме того, я добавил правило к каждой виртуальной машине — IN ACCEPT, которое разрешает весь входящий трафик.