dd if=/dev/zero оставляет содержимое диска нетронутым? Плохая флешка?

No hay una equivalencia directa con chkconfig --level 5 iptables on. No tiene sentido y es confuso seguir pensando en términos del antiguo sysvinit. No existe tal cosa como un nivel de ejecución en systemd.

Dicho esto... puede pedirle al administrador del servicio que inicie iptables solo cuando se alcance graphical.target usando WantedBy=graphical.target en la sección [Instalar] del servicio.