bloquear todos os ips, exceto alguns, com firewalld

Em uma máquina em rede Linux, eu gostaria de restringir o conjunto de endereços na zona "pública" (conceito firewalld), que têm permissão para alcançá-la. Portanto, o resultado final seria que nenhuma outra máquina possa acessar nenhuma porta ou protocolo, exceto aqueles explicitamente permitidos, como uma mistura de

  --add-rich-rule='rule family="ipv4" source not  address="192.168.56.120" drop'

  --add-rich-rule='rule family="ipv4" source not  address="192.168.56.105" drop'

O problema acima é que essa não é uma lista real, ela bloqueará tudo, pois se um endereço for bloqueado por não ser o mesmo que o outro, gerando um efeito acidental de "soltar tudo", como eu "desbloquear" um elemento não específico conjunto contíguo? a fonte aceita uma lista de endereços? até agora, não vejo nada na minha olhada nos documentos ou no resultado do google.

EDIT: Acabei de criar isso:

# firewall-cmd  --zone=encrypt --list-all
encrypt (active)
  interfaces: eth1
  sources: 192.168.56.120
  services: ssh
  ports: 6000/tcp
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules: 

Mas ainda posso alcançar a porta 6000 .123 , pois minha intenção era que, se uma fonte não estiver listada, ela não conseguiria acessar nenhum serviço ou porta

As regras ricas não são necessárias.

Se você deseja restringir uma região a um conjunto específico de IPs, simplesmente defina esses IPs como fontes para a própria zona (e remova qualquer definição de interface que possa estar presente, pois elas substituem os IPs de origem).

Você provavelmente não deseja fazer isso na zona "pública", no entanto, uma vez que isso significa semanticamente que os serviços públicos sejam abertos ao mundo.

Em vez disso, tente usar uma zona diferente, como "interno", para endereços IP na maior parte confiáveis, para acessar serviços potencialmente sensíveis, como o sshd. (Você também pode criar suas próprias zonas.)

Aviso: não confunda a zona "confiável" especial com a zona "interna" normal. Quaisquer fontes adicionadas à zona "confiável" serão permitidas em todas as portas; adicionar serviços à zona "confiável" é permitido, mas não faz sentido fazê-lo.

firewall-cmd --zone=internal --add-service=ssh
firewall-cmd --zone=internal --add-source=192.168.56.105/32
firewall-cmd --zone=internal --add-source=192.168.56.120/32
firewall-cmd --zone=public --remove-service=ssh

O resultado disso será uma zona "interna" que permite o acesso ao ssh, mas apenas a partir dos dois endereços IP fornecidos. Para torná-lo persistente, execute novamente cada comando com --permanentanexado.

Conforme firewalld.richlanguage:

Fonte de origem [not] address = "address [/ mask]"

   With the source address the origin of a connection attempt can be limited to the source address. An address is either a single IP address, or a network IP address. The address has to match the rule family (IPv4/IPv6). Subnet mask is expressed in either
   dot-decimal (/x.x.x.x) or prefix (/x) notations for IPv4, and in prefix notation (/x) for IPv6 network addresses. It is possible to invert the sense of an address by adding not before address. All but the specified address will match then.

Especifique uma máscara de rede para o endereço para permitir blocos contíguos.

Fora isso, você pode tentar criar uma ipsetlista não contígua de IPs permitidos.

Por exemplo, em /etc/firewalld/direct.xml:

<?xml version="1.0" encoding="utf-8"?>
<direct>
   <rule ipv="ipv4" table="filter" chain="INPUT" priority="0">-m set --match-set whitelist src -j ACCEPT</rule>
</direct>

O real ipsetdeve ser criado separadamente.

Você pode gerenciar facilmente pelo Rich Rule.

Primeiro passo

firewall-cmd --permanent --set-default-zone=home
firewall-cmd --permanent --zone=drop --change-interface=eth0

Segunda etapa - Adicionar regra rica

firewall-cmd --permanent --zone=home --add-rich-rule='rule family="ipv4" source address="192.168.78.76/32" accept'

Toda porta é acessível por 192.168.2.2 depois de adicionar uma regra avançada e bloquear todas as portas de outra origem.

Se você adicionar qualquer porta ou serviço pelo comando abaixo, ele será acessível por todas as fontes.

firewall-cmd --zone=public --add-service=ssh
firewall-cmd --zone=public --add-port=8080

Se você deseja abrir uma porta específica para o comando Ip than than below

firewall-cmd --permanent --zone=home --add-rich-rule='rule family="ipv4" port="8080/tcp" source address="192.168.78.76/32" accept'