firewalld

Внесение изменений через firewall-cmd не устраивает?

Я про что-то типа:

firewall-cmd --direct --add-rule ipv4 filter FWDI_public_allow 0 -m tcp -p tcp --dport 5190 -j ACCEPT

Дык не работает же если указывать вместо FORWARD_direct какую-то другую цепочку. Тупо не добавляется правило.

На всякий случай спрошу, а собственно цепочка FWDI_internal_deny у тебя создана, отображается в выводе iptables-save? Вообще firewall-cmd умеет довольно осмысленно ругаться в stdout. У меня при попытке воткнуть правило в несуществующий чейн вываливается что-то типа:

Error: COMMAND_FAILED: '/sbin/iptables -t filter -I FWDI_internal_deny 1 -m tcp -p tcp --dport 80 -j ACCEPT' failed: iptables: No chain/target/match by that name.

хм... похоже это багофича гуя (firewall-config), через cli всё ок

а не, нифига не ок, после перезагрузки правила из direct.xml не подтягиваются если указывать вместо FORWARD_direct какую-то другую цепочку

Добавь --permanent.

firewall-cmd --permanent --direct --add-rule ipv4 filter FWDI_public_allow 0 -m tcp -p tcp --dport 5190 -j ACCEPT

--permanent это ключ, благодаря которому правила попадают в direct.xml. С этим всё ок. Но вот после перезагрузки или перезапуска firewalld эти правила не подтягиваются из direct.xml (если указывать вместо FORWARD_direct какую-то другую цепочку). А вот если без --permanent - то правила применяются, но не сохраняются в конфиг. Вот такая фигня.

Проверил сейчас на тестовой, чистой CentOS 7. Все так как ты пишешь. Правило добавляется с permanent, в direct.xml присутствует, но в iptables после перезагрузки не подгружается. Если вдруг нагуглишь решение — поделись тут.

Ну пока только устраивать содомию в FORWARD_direct в качестве обходного решения