Cómo configurar un firewall con firewalld en Rocky Linux 8

Introducción

firewalld es un software de gestión de firewall disponible para muchas distribuciones de Linux, que actúa como interfaz para los sistemas de filtrado de paquetes nftables o iptables dentro del kernel de Linux .

En esta guía, revisará cómo configurar un firewalldfirewall para su servidor Rocky Linux 8 y cubrirá los conceptos básicos de la administración del firewall con la firewall-cmdherramienta administrativa.

Prerrequisitos

Para completar este tutorial, necesitará un servidor que ejecute Rocky Linux 8. Debe iniciar sesión en este servidor como usuario habilitado y no rootsudo . Para configurarlo, consulte nuestra guía Configuración inicial del servidor para Rocky Linux 8 .

Paso 1: Revisión de los conceptos básicos de firewalld

Antes de revisar cómo usar realmente la firewall-cmdutilidad para administrar la configuración de su firewall, debe familiarizarse con algunos conceptos que presenta la herramienta.

Zonas

El firewallddemonio administra grupos de reglas mediante entidades llamadas zonas . Las zonas son conjuntos de reglas que dictan qué tráfico se debe permitir según el nivel de confianza que tenga en la red. Las interfaces de red se asignan a una zona para dictar el comportamiento que debe permitir el firewall.

En el caso de los equipos que pueden moverse entre redes con frecuencia (como los portátiles), este tipo de flexibilidad proporciona un buen método para cambiar las reglas en función del entorno. Es posible que tenga reglas estrictas que prohíban la mayor parte del tráfico cuando se opera en una red WiFi pública, pero que permitan restricciones más laxas cuando se conecta a su red doméstica. En el caso de un servidor, estas zonas no suelen ser tan importantes porque el entorno de red rara vez cambia, o nunca.

Independientemente de lo dinámico que pueda ser su entorno de red, sigue siendo útil familiarizarse con la idea general detrás de cada una de las zonas predefinidas para firewalld. Las zonas predefinidas dentro firewalldson, en orden de menos confiable a más confiable :

Drop : el nivel de confianza más bajo. Todas las conexiones entrantes se descartan sin respuesta y solo son posibles las conexiones salientes.
bloque : similar al anterior, pero en lugar de descartar conexiones, las solicitudes entrantes se rechazan con un mensaje icmp-host-prohibitedo icmp6-adm-prohibited.
público : representa redes públicas que no son de confianza. No confía en otras computadoras, pero puede permitir conexiones entrantes seleccionadas según cada caso.
externa : redes externas en caso de que estés usando el firewall como puerta de enlace. Está configurada para enmascaramiento NAT, de modo que tu red interna permanezca privada pero accesible.
Interno : El otro lado de la zona externa, que se utiliza para la parte interna de una puerta de enlace. Las computadoras son bastante confiables y hay algunos servicios adicionales disponibles.
dmz : se utiliza para equipos ubicados en una DMZ (equipos aislados que no tendrán acceso al resto de la red). Solo se permiten ciertas conexiones entrantes.
work : Se utiliza para máquinas de trabajo. Confía en la mayoría de las computadoras de la red. Se pueden permitir algunos servicios más.
home : Un entorno doméstico. Generalmente implica que confías en la mayoría de las otras computadoras y que se aceptarán algunos servicios más.
Trusted : Confía en todas las máquinas de la red. Es la opción más abierta de las disponibles y se debe usar con moderación.

Para utilizar el firewall, puede crear reglas y modificar las propiedades de sus zonas y luego asignar sus interfaces de red a las zonas que sean más apropiadas.

Permanencia de la regla

En firewalld, las reglas se pueden aplicar al conjunto de reglas de tiempo de ejecución actual o se pueden hacer permanentes . Cuando se agrega o modifica una regla, de manera predeterminada, solo se modifica el firewall que se está ejecutando actualmente . Después del siguiente reinicio (o recarga del firewalldservicio), solo permanecerán las reglas permanentes.

La mayoría de firewall-cmdlas operaciones pueden incluir una --permanentbandera para indicar que los cambios se deben aplicar a la configuración permanente. Además, el firewall que se está ejecutando actualmente se puede guardar en la configuración permanente con el firewall-cmd --runtime-to-permanentcomando.

Esta separación entre el tiempo de ejecución y la configuración permanente significa que usted puede probar reglas de manera segura en su firewall activo y luego recargarlo para comenzar de nuevo si hay problemas.

Paso 2: Instalación y habilitación de firewalld

firewalldFirewalld se instala de forma predeterminada en algunas distribuciones de Linux, incluidas muchas implementaciones de Rocky Linux. Sin embargo, puede que sea necesario que instales firewalld tú mismo. Puedes hacerlo usando dnfel administrador de paquetes de Rocky:

sudo dnf install firewalld -y

Después de instalar firewalld, deberá habilitar el servicio mediante systemctl. Tenga en cuenta que habilitar firewalld hará que el servicio se inicie durante el arranque. Es mejor crear sus reglas de firewall y aprovechar la oportunidad para probarlas mientras aún está conectado a través de SSH para evitar posibles problemas.

sudo systemctl enable firewalld
sudo systemctl start firewalld

Puede verificar que el servicio esté ejecutándose y sea accesible escribiendo:

sudo firewall-cmd --state

Outputrunning

Esto indica que su firewall está funcionando con la configuración predeterminada. Antes de realizar más modificaciones, debe familiarizarse con el entorno predeterminado y las reglas proporcionadas por firewalld.

Explorando los valores predeterminados

Puede ver qué zona está seleccionada actualmente como predeterminada ejecutando firewall-cmd --get-default-zone:

firewall-cmd --get-default-zone

Outputpublic

Dado que no le ha dado a firewalld ningún comando para desviarse de la zona predeterminada y ninguna de sus interfaces está configurada para vincularse a otra zona, esa zona también será la única zona activa (la zona que controla el tráfico de nuestras interfaces). Puede verificarlo ejecutando firewall-cmd --get-active-zones:

firewall-cmd --get-active-zones

Outputpublic  interfaces: eth0 eth1

Aquí, puede ver que su servidor de ejemplo tiene dos interfaces de red controladas por el firewall ( eth0y eth1). Ambas se administran actualmente de acuerdo con las reglas definidas para la zona pública .

Puede imprimir las reglas vinculadas a la configuración de la zona predeterminada utilizando firewall-cmd --list-all:

sudo firewall-cmd --list-all

Outputpublic (active)  target: default  icmp-block-inversion: no  interfaces: eth0 eth1  sources:  services: cockpit dhcpv6-client ssh  ports:  protocols:  masquerade: no  forward-ports:  source-ports:  icmp-blocks:  rich rules:

En la salida se puede ver que esta zona es la predeterminada y la activa, y que las interfaces eth0y eth1están asociadas con esta zona. En la services:línea, también se puede ver que esta zona permite el tráfico para un cliente DHCP (para la asignación de direcciones IP), SSH (para administración remota) y Cockpit (una consola basada en web).

Explorando zonas alternativas

También podrás encontrar información sobre otras zonas.

Para obtener una lista de las zonas disponibles, ejecute firewall-cmd --get-zones:

firewall-cmd --get-zones

Outputblock dmz drop external home internal public trusted work

Puede ver la configuración específica asociada a una zona incluyendo el --zone=parámetro en su --list-allcomando:

sudo firewall-cmd --zone=home --list-all

Outputhome  target: default  icmp-block-inversion: no  interfaces:  sources:  services: cockpit dhcpv6-client mdns samba-client ssh  ports:  protocols:  masquerade: no  forward-ports:  source-ports:  icmp-blocks:  rich rules:

Puede generar todas las definiciones de zona mediante la --list-all-zonesopción . A continuación, aprenderá a asignar zonas a interfaces de red.

Paso 3: Seleccionar zonas para sus interfaces

A menos que haya configurado sus interfaces de red de otra manera, cada interfaz se colocará en la zona predeterminada cuando se inicie el firewall.

Cambiar la zona de una interfaz

Puede mover una interfaz entre zonas durante una sesión utilizando el --zone=parámetro en combinación con el --change-interface=parámetro . Al igual que con todos los comandos que modifican el firewall, deberá utilizar sudo.

Por ejemplo, puedes mover tu eth0interfaz a la zona de inicio :

sudo firewall-cmd --zone=home --change-interface=eth0

Outputsuccess

Nota: Siempre que mueva una interfaz a una nueva zona, tenga en cuenta que está modificando los servicios que estarán operativos. En este caso, se está moviendo a la zona de inicio , que tiene SSH disponible. Esto significa que su conexión no debería interrumpirse. Algunas otras zonas no tienen SSH habilitado de manera predeterminada y cambiar a una de estas zonas podría provocar que su conexión se interrumpa, lo que le impediría volver a iniciar sesión en su servidor.

Puedes verificar que esto fue exitoso revisando nuevamente las zonas activas:

firewall-cmd --get-active-zones

Outputhome  interfaces: eth0public  interfaces: eth1

Ajuste de la zona predeterminada

Si todas las interfaces se pueden gestionar correctamente con una única zona predefinida, debe designar esa zona como predeterminada. Puede cambiar la zona predeterminada con el --set-default-zone=parámetro. Esto cambiará inmediatamente cualquier interfaz que utilice la zona predeterminada:

sudo firewall-cmd --set-default-zone=home

Outputsuccess

Paso 4: Establecer reglas para sus aplicaciones

Repasemos las formas de definir excepciones de firewall.

Cómo agregar un servicio a sus zonas

El método más sencillo es agregar los servicios o puertos que necesita a las zonas que está utilizando. Puede obtener una lista de las definiciones de servicios disponibles utilizando la --get-servicesopción firewall-cmd:

firewall-cmd --get-services

OutputRH-Satellite-6 amanda-client amanda-k5-client amqp amqps apcupsd audit bacula bacula-client bb bgp bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc bittorrent-lsd ceph ceph-mon cfengine cockpit condor-collector ctdb dhcp dhcpv6 dhcpv6-client distcc dns dns-over-tls docker-registry docker-swarm dropbox-lansync elasticsearch etcd-client etcd-server finger freeipa-4 freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master git grafana gre high-availability http https imap imaps ipp ipp-client ipsec irc ircs iscsi-target isns jenkins kadmin kdeconnect kerberos kibana klogin kpasswd kprop kshell ldap ldaps libvirt libvirt-tls lightning-network llmnr managesieve matrix mdns memcache minidlna mongodb mosh mountd mqtt mqtt-tls ms-wbt mssql murmur mysql nfs nfs3 nmea-0183 nrpe ntp nut openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole plex pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy prometheus proxy-dhcp ptp pulseaudio puppetmaster quassel radius rdp redis redis-sentinel rpc-bind rsh rsyncd rtsp salt-master samba samba-client samba-dc sane sip sips slp smtp smtp-submission smtps snmp snmptrap spideroak-lansync spotify-sync squid ssdp ssh steam-streaming svdrp svn syncthing syncthing-gui synergy syslog syslog-tls telnet tentacle tftp tftp-client tile38 tinc tor-socks transmission-client upnp-client vdsm vnc-server wbem-http wbem-https wsman wsmans xdmcp xmpp-bosh xmpp-client xmpp-local xmpp-server zabbix-agent zabbix-server

Nota: Puede encontrar más detalles sobre cada uno de estos servicios consultando el .xmlarchivo asociado dentro del /usr/lib/firewalld/servicesdirectorio. Por ejemplo, el servicio SSH se define de la siguiente manera:

/usr/lib/firewalld/services/ssh.xml

?xml version="1.0" encoding="utf-8"?service  shortSSH/short  descriptionSecure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful./description  port protocol="tcp" port="22"//service

Puede habilitar un servicio para una zona mediante el --add-service=parámetro. La operación se dirigirá a la zona predeterminada o a la zona que especifique el --zone=parámetro. De manera predeterminada, esto solo ajustará la sesión de firewall actual y no persistirá más allá de los reinicios del servicio. Puede ajustar la configuración permanente del firewall incluyendo el --permanentindicador.

Por ejemplo, si está ejecutando un servidor web que atiende tráfico HTTP convencional, puede permitir temporalmente este tráfico para las interfaces en su zona pública :

sudo firewall-cmd --zone=public --add-service=http

Puede omitir la --zone=bandera para modificar la zona predeterminada. Puede verificar que la operación se realizó correctamente mediante las operaciones --list-allo :--list-services

sudo firewall-cmd --zone=public --list-services

Outputcockpit dhcpv6-client http ssh

Una vez que hayas comprobado que todo funciona como debería, puedes modificar las reglas de firewall permanentes para que tu servicio siga estando disponible después de reiniciar. Puedes hacer que el comando anterior sea permanente agregando el --permanentindicador:

sudo firewall-cmd --zone=public --add-service=http --permanent

Outputsuccess

Alternativamente, puede utilizar la --runtime-to-permanentbandera para guardar la configuración del firewall que se está ejecutando actualmente en la configuración permanente:

sudo firewall-cmd --runtime-to-permanent

Tenga cuidado con esta opción, ya que todos los cambios realizados en el firewall en ejecución se confirmarán de forma permanente.

Independientemente del método que haya elegido, puede comprobar que se ha realizado correctamente añadiendo la --permanentbandera a la --list-servicesoperación. Debe utilizar sudopara cualquier --permanentoperación:

sudo firewall-cmd --zone=public --list-services --permanent

Outputcockpit dhcpv6-client http ssh

Su zona pública ahora permitirá el tráfico web HTTP en el puerto 80. Si su servidor web está configurado para usar SSL/TLS, también deberá agregar el httpsservicio. Puede agregarlo a la sesión actual y al conjunto de reglas permanentes escribiendo lo siguiente:

sudo firewall-cmd --zone=public --add-service=https
sudo firewall-cmd --zone=public --add-service=https --permanent

Los servicios que se incluyen con la instalación de firewalld representan muchas de las aplicaciones más comunes a las que puede necesitar permitir el acceso. Sin embargo, es probable que haya situaciones en las que estos servicios no se ajusten a sus requisitos.

En esta situación, tienes dos opciones.

Abrir un puerto para tus zonas

La forma más sencilla de agregar compatibilidad para su aplicación específica es abrir los puertos que utiliza en las zonas correspondientes. Esto se hace especificando el puerto o el rango de puertos y el protocolo asociado (TCP o UDP) para los puertos.

Por ejemplo, si su aplicación se ejecuta en el puerto 5000 y utiliza TCP, puede agregarlo temporalmente a la publiczona mediante el --add-port=parámetro. Los protocolos se pueden designar como tcpo udp:

sudo firewall-cmd --zone=public --add-port=5000/tcp

Outputsuccess

Puedes verificar que esto fue exitoso mediante la --list-portsoperación:

sudo firewall-cmd --zone=public --list-ports

Output5000/tcp

También es posible especificar un rango secuencial de puertos separando el puerto inicial y final del rango con un guión. Por ejemplo, si su aplicación utiliza los puertos UDP 4990 a 4999, puede abrirlos en público escribiendo lo siguiente:

sudo firewall-cmd --zone=public --add-port=4990-4999/udp

Después de realizar la prueba, puede agregarlos al firewall permanente. Utilice sudo firewall-cmd --runtime-to-permanento vuelva a ejecutar los comandos con el --permanentindicador:

sudo firewall-cmd --zone=public --permanent --add-port=5000/tcp
sudo firewall-cmd --zone=public --permanent --add-port=4990-4999/udp
sudo firewall-cmd --zone=public --permanent --list-ports

Outputsuccesssuccess5000/tcp 4990-4999/udp

Definición de un servicio

Abrir puertos para las zonas es una solución sencilla, pero puede resultar difícil llevar un registro de para qué se utiliza cada una de ellas. Si alguna vez deshabilita un servicio en su servidor, puede resultarle difícil catalogar qué puertos que se han abierto siguen siendo necesarios. Para evitar esta situación, puede definir un nuevo servicio.

Los servicios son conjuntos de puertos con un nombre y una descripción asociados. Administrar el firewall mediante servicios suele ser más fácil de mantener que asignar puertos, pero requiere cierta configuración inicial. Puede comenzar copiando un script existente en /usr/lib/firewalld/servicesel /etc/firewalld/servicesdirectorio donde el firewall busca definiciones no estándar.

Por ejemplo, puede copiar la definición del servicio SSH para usarla en su definición de servicio de ejemplo de la siguiente manera. El nombre del servicio dentro de la lista de servicios del firewall será el nombre de este archivo, menos el .xmlsufijo:

sudo cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/example.xml

Abra el archivo utilizando visu editor de texto favorito:

sudo vi /etc/firewalld/services/example.xml

Para comenzar, el archivo contendrá la definición SSH que copiaste:

/etc/firewalld/services/example.xml

?xml version="1.0" encoding="utf-8"?service  shortSSH/short  descriptionSecure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful./description  port protocol="tcp" port="22"//service

La mayor parte de esta definición son metadatos. Debes cambiar el nombre corto del servicio dentro de las shortetiquetas. Este es un nombre legible para el servicio. También debes agregar una descripción para tener más información si alguna vez necesitas auditar el servicio. La única configuración que necesitas hacer y que realmente afecta la funcionalidad del servicio probablemente será la definición del puerto donde identificas el número de puerto y el protocolo para abrir. port/Se pueden especificar varias etiquetas.

Para su exampleservicio, imagine que necesita abrir el puerto 7777 para TCP y el 8888 para UDP. Puede modificar la definición existente con algo como esto:

/etc/firewalld/services/example.xml

?xml version="1.0" encoding="utf-8"?service  shortExample Service/short  descriptionThis is just an example service. It probably shouldn't be used on a real system./description  port protocol="tcp" port="7777"/  port protocol="udp" port="8888"//service

Guarde y cierre el archivo.

Recargue su firewall para obtener acceso a su nuevo servicio:

sudo firewall-cmd --reload

Puedes ver que ahora está entre la lista de servicios disponibles:

firewall-cmd --get-services

OutputRH-Satellite-6 amanda-client amanda-k5-client amqp amqps apcupsd audit bacula bacula-client bb bgp bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc bittorrent-lsd ceph ceph-mon cfengine cockpit condor-collector ctdb dhcp dhcpv6 dhcpv6-client distcc dns dns-over-tls docker-registry docker-swarm dropbox-lansync elasticsearch etcd-client etcd-server example finger freeipa-4 freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master git grafana gre high-availability http https imap imaps ipp ipp-client ipsec irc ircs iscsi-target isns jenkins kadmin kdeconnect kerberos kibana klogin kpasswd kprop kshell ldap ldaps libvirt libvirt-tls lightning-network llmnr managesieve matrix mdns memcache minidlna mongodb mosh mountd mqtt mqtt-tls ms-wbt mssql murmur mysql nfs nfs3 nmea-0183 nrpe ntp nut openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole plex pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy prometheus proxy-dhcp ptp pulseaudio puppetmaster quassel radius rdp redis redis-sentinel rpc-bind rsh rsyncd rtsp salt-master samba samba-client samba-dc sane sip sips slp smtp smtp-submission smtps snmp snmptrap spideroak-lansync spotify-sync squid ssdp ssh steam-streaming svdrp svn syncthing syncthing-gui synergy syslog syslog-tls telnet tentacle tftp tftp-client tile38 tinc tor-socks transmission-client upnp-client vdsm vnc-server wbem-http wbem-https wsman wsmans xdmcp xmpp-bosh xmpp-client xmpp-local xmpp-server zabbix-agent zabbix-server

Ahora puedes utilizar este servicio en tus zonas como lo harías normalmente.

Paso 5: Crea tus propias zonas

Si bien las zonas predefinidas deberían funcionar para la mayoría de los usuarios, puede ser útil definir sus propias zonas que sean más descriptivas de su función.

Por ejemplo, es posible que necesites crear una zona para tu servidor web, denominada publicweb. Sin embargo, es posible que necesites tener otra zona configurada para el servicio DNS que proporcionas en tu red privada. Podrías crear otra zona denominada privateDNSpara eso.

Al agregar una zona, debe agregarla a la configuración permanente del firewall. Luego, puede volver a cargarla para incorporar la configuración a su sesión en ejecución. Por ejemplo, puede crear estas dos zonas utilizando firewall-cmd –new-zone:

sudo firewall-cmd --permanent --new-zone=publicweb
sudo firewall-cmd --permanent --new-zone=privateDNS

Puede verificar que estén presentes en su configuración permanente escribiendo:

sudo firewall-cmd --permanent --get-zones

Outputblock dmz drop external home internal privateDNS public publicweb trusted work

Recargue el firewall para incorporar estas nuevas zonas a la configuración de tiempo de ejecución activa:

sudo firewall-cmd --reload
firewall-cmd --get-zones

Outputblock dmz drop external home internal privateDNS public publicweb trusted work

Ahora, puede comenzar a asignar los servicios y puertos adecuados a sus zonas. Por lo general, es una buena idea ajustar el firewall en tiempo de ejecución y luego guardar esos cambios en la configuración permanente después de la prueba. Por ejemplo, para la publicwebzona, puede agregar los servicios SSH, HTTP y HTTPS:

sudo firewall-cmd --zone=publicweb --add-service=ssh
sudo firewall-cmd --zone=publicweb --add-service=http
sudo firewall-cmd --zone=publicweb --add-service=https
sudo firewall-cmd --zone=publicweb --list-all

Outputpublicweb  target: default  icmp-block-inversion: no  interfaces:   sources:   services: http https ssh  ports:   protocols:   masquerade: no  forward-ports:   source-ports:   icmp-blocks:   rich rules:

Luego puedes agregar el servicio DNS a tu privateDNSzona:

sudo firewall-cmd --zone=privateDNS --add-service=dns
sudo firewall-cmd --zone=privateDNS --list-all

OutputprivateDNS  target: default  icmp-block-inversion: no  interfaces:  sources:  services: dns  ports:  protocols:  masquerade: no  forward-ports:  source-ports:  icmp-blocks:  rich rules:

Luego podrías cambiar nuestras interfaces a estas nuevas zonas para probarlas:

sudo firewall-cmd --zone=publicweb --change-interface=eth0
sudo firewall-cmd --zone=privateDNS --change-interface=eth1

En este punto, tienes la oportunidad de probar tu configuración. Si estos valores funcionan para ti, debes agregar estas reglas a la configuración permanente. Puedes hacerlo ejecutando todos los comandos nuevamente con la --permanentbandera adjunta, pero en este caso usarás la --runtime-to-permanentbandera para guardar toda tu configuración de tiempo de ejecución de forma permanente:

sudo firewall-cmd --runtime-to-permanent

Después de aplicar permanentemente estas reglas, vuelva a cargar el firewall para probar que los cambios permanecen:

sudo firewall-cmd --reload

Validar que se hayan asignado las zonas correctas:

firewall-cmd --get-active-zones

OutputprivateDNS  interfaces: eth1publicweb  interfaces: eth0

Y validar que los servicios adecuados estén disponibles para ambas zonas:

sudo firewall-cmd --zone=publicweb --list-services

Outputhttp https ssh

sudo firewall-cmd --zone=privateDNS --list-services

Outputdns

¡Ha configurado correctamente sus propias zonas! Para que una de estas zonas sea la predeterminada para otras interfaces, recuerde configurar ese comportamiento con el --set-default-zone=parámetro:

sudo firewall-cmd --set-default-zone=publicweb

Conclusión

Ahora debería tener una comprensión bastante completa de cómo administrar el servicio firewalld en su sistema Rocky Linux para el uso diario.

El servicio firewalld le permite configurar reglas y conjuntos de reglas que se puedan mantener y que tengan en cuenta su entorno de red. Le permite realizar transiciones sin inconvenientes entre diferentes políticas de firewall mediante el uso de zonas. Adquirir conocimientos prácticos de este sistema le permitirá aprovechar la flexibilidad y la potencia que ofrece esta herramienta.

Para obtener más información sobre firewalld, consulte la documentación oficial de firewalld .