允许非指定端口通过

Question

我正在运行CentOS 7的最新版本(内核版本3.10.0-1062.4.1.el7.x86_64)，我指定了一个自定义的firewalld区域，其中我指定了一个端口和一个源ipset。我期望这两项准则都适用。但是，我能够连接到系统(从允许的源IP)，但从不同的端口。这是区域配置应该如何工作的吗？

以下是我的区域配置：

<?xml version="1.0" encoding="utf-8"?>
<zone target="ACCEPT">
  <port port="8080" protocol="tcp"/>
  <source ipset="authorized-ips"/>
</zone>

下面是我的ipset配置：

<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:ip">
  <!-- Bob's system -->
  <entry>192.168.123.123</entry>
  <!-- Bill's system -->
  <entry>192.168.123.124</entry>
</ipset>

如果我使用端口8008或8009连接，那么我仍然能够通过apache访问应用程序。但我没有明确允许这些端口通过防火墙！

运行的输出：firewall-cmd --list-all --zone=ACCEPT

Error: INVALID_ZONE: ACCEPT

Answer 1

用这种方式编辑firewalld是不寻常的。您可以发布来自firewall-cmd --list-all --zone=ACCEPT的输出吗?这样我们就可以知道守护进程是如何解析和实现您的配置的。