И снова firewalld. Разрешить ESTABLISHED и RELATED

В седьмой центоси и федоре related и established разрешены по дефолту. Запрещены только new.

new открываются

firewall-cmd --permanent --add-port=3223/tcp
firewall-cmd --reload

Если не добавлять permanent, то можно без reload, применяются сразу, но при перезапуске/reload'е firewalld все настройки сбросятся.

Теперь я запутался :-\

RELATED — пакет открывает новый сеанс, связанный с уже открытым сеансом. Например, во время сеанса пассивного FTP, клиент подсоединяется к порту 21 сервера, сервер сообщает клиенту номер второго, случайно выбранного порта, после чего клиент подсоединяется ко второму порту для передачи файлов. В этом случае второй сеанс (передача файлов по второму порту) связан с уже существующим сеансом (изначальное подсоединение к порту 21). http://help.ubuntu.ru/wiki/iptables

То есть это как бы и есть новый порт но привязанный к процессу, это и есть related. ( Могу ошибаться :-\ )

С ручным добавлением портов всё понятно, но вопрос как раз в автоматике.

есть вещи, про которые уже давно подумали, и не стоит про них больше думать.

RELATED,ESTABLISHED значит прошедшие через коннтрек и различные nat хелперы.

Fedora 26 с firewalld:

$ sudo iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere            
INPUT_direct  all  --  anywhere             anywhere            
INPUT_ZONES_SOURCE  all  --  anywhere             anywhere            
INPUT_ZONES  all  --  anywhere             anywhere            
DROP       all  --  anywhere             anywhere             ctstate INVALID
REJECT     all  --  anywhere             anywhere             reject-with icmp-host-prohibited

...

В центоси вроде тоже самое. Т.е. RELATED принимаются отовсюду.

С остановленным firewalld работает? Уверен, что проблема в нём?

С остановленным firewalld работает? Уверен, что проблема в нём?

При остановке firewalld работает. при ручном открытии созданного сервисом порта тоже работает. То есть это новый порт не цепляется к уже разрешенным портам и процессам и не распознается как RELATED что-ли... За два дня пришёл к выводу что firewalld до сих пор почти не используется, а когда возникают подобные проблемы - его выключают и включают iptables в котором всё известно. Думаю тему можно закрыть нерешенной, когда разберусь - допишу чем кончилось.

Что за приложение? Если какой-нибудь FTP или SIP - убедись что conntrack-модули загружены и назначены на нужные базовые порты, ибо в новых ядрах автоматическое назначение helper-ов conntrack по умолчанию вырубили