firewalld: зоны вместо линейных цепочек правил

На RPM-системах (RED OS, RHEL, Fedora) по умолчанию стоит firewalld — модель зон вместо линейного списка правил как в nftables/iptables. Интерфейс приписан к зоне (public, internal, trusted), и правила действуют в контексте зоны, а не глобально.

firewall-cmd --get-active-zones
firewall-cmd --zone=public --add-service=https --permanent
firewall-cmd --zone=public --add-port=8443/tcp --permanent
firewall-cmd --reload

Без --permanent правило живёт до перезагрузки демона — удобно для теста, опасно для продакшена, если забыл добавить постоянно.

Rich rules — точечные исключения, которых нет в сервисах:

firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="10.0.0.5" accept' --permanent

#linux #firewalld #security