centos - Firewalld - 我做错了什么(允许来自单一来源的端口，阻止其他人使用相同的端口)

Question

我需要为 SCOM 监控打开端口 1270/tcp。
所以，我创建了一个新区域 020_scom (因为我知道字母顺序会导致偏好问题......我用数字开头的名字制作我的)
然后将端口 1270/tcp 和我的单源 ip x.y.z.a/32(和另一个测试主机)添加到同一个区域(所有内容都带有 --permanent)，然后在完成后 --reload。
我得到:

020_scom (active)
  target: default
  icmp-block-inversion: no
  interfaces:
  sources: 1.2.3.4/32 2.3.1.2/32
  services:
  ports: 1270/tcp
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

然后将相同的端口添加到 block 区域:

block
  target: %%REJECT%%
  icmp-block-inversion: no
  interfaces:
  sources:
  services:
  ports: 80/tcp 443/tcp 1270/tcp 6082/tcp
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

但是，我从我的 SCOM 主机(或那里的第二个 2.3.1.2 - 我的另一个测试主机)收到“FINAL_REJECT:”
我尝试从阻止区域中删除端口，但仍然没有交易......被拒绝。
有什么简单的我做错了吗？

Answer 1

阅读完您的所有步骤后，我可以告诉您以下内容。
正如您评论的那样，如果您想在新区域中添加 IP 和端口，正如您向我们展示的那样做得很好，但是在 block 区域中添加相同的端口是 firewalld 服务的冲突。
不建议在不同区域中添加两次 IP 或端口，因为在这种情况下，规则可能会做相反的事情并相互拒绝。
如果您没有在“sources:”上设置任何 IP，则您可以通过区域上“ports:”上的端口设置访问所有发送机器请求的 IP。但是，如果您提到了一个 IP，那么您只是为该单个 IP 或一个段(如果是这种情况)划定输入。
因此，正如您向我们展示的那样，您尝试为特定端口允许 2 个 IP，但同时拒绝所有对同一端口的请愿请求。要解决这个问题，需要将端口从“block”区域中删除，您可以使用 nexts 命令来完成。

firewall-cmd --zone=block --remove-port=1270/tcp --permanent

firewall-cmd --reload

BR。