as configurações da zona do firewalld não sobrevivem a uma reinicialização

Question

Minhas aventuras anteriores com firewalld e zonas estão incompletos.

• A especificação de zonas via nmcli somente , a verificação das configurações em /etc/sysconfig/network-scripts/ifcfg-* e a verificação das configurações não em /etc/firewalld/zones/ ainda colocam as duas interfaces na zona padrão na reinicialização .
• A especificação de zonas via firewalld-cmd --permanent somente , a verificação das configurações em /etc/firewalld/zones/ e a verificação das configurações não em /etc/sysconfig/network-scripts/ifcfg-* ainda colocam as duas interfaces na zona padrão na reinicialização .
• A especificação de zonas por meio de comandos e a verificação de configurações nos dois conjuntos de arquivos ainda colocam as duas interfaces na zona padrão.

Algo no processo de desligamento / inicialização está redefinindo esses arquivos.

    

Answer 1

Isso é rastreado aqui onde eu detalhei uma correção temporária para esse problema, mas vou escrevê-lo aqui também:

Eu confirmei esse comportamento no CentOS 7.2.1511 e no CentOS 7.3.1611.

Não importa qual combinação de NetworkManager ou firewalld eu usei para manter as zonas persistentes, nada pareceu funcionar. Eu tentei a "solução alternativa" listada acima e ainda nada. Aqui está a solução que eu criei para o meu caso de uso.

Eu tenho as seguintes interfaces que devem fazer parte das zonas correspondentes persistentemente:

• enp0s3 - public
• enp0s8 - interno
• enp0s9 - externo

Eu criei um arquivo de unidade do systemd como uma correção temporária para meus problemas: /etc/systemd/system/myzones.service

[Unit]
Description=Custom Zones
After=network.target network.service

[Service]
Type=oneshot
User=root
Group=root
ExecStart=/bin/nmcli connection modify enp0s3 connection.zone public
ExecStart=/bin/nmcli connection modify enp0s8 connection.zone internal
ExecStart=/bin/nmcli connection modify enp0s9 connection.zone external

[Install]
WantedBy=multi-user.target

Então eu ativei o serviço e reiniciei

# systemctl daemon-reload
# systemctl enable myzones.service
# reboot

O único problema que corri até agora é se você tentar e reiniciar o network.service quando houver arquivos ifcfg - *. old residindo em / etc / sysconfig / network-scripts /. Mas uma reinicialização irá resolver isso. Eu não uso o serviço de rede para poder viver com essa correção temporária por enquanto.

    

Answer 2

Eu apenas tentei definir ZONE= nos arquivos ifcfg-* , o que sempre funcionou para mim na reinicialização.

Não está claro para mim se você tentou apenas editar os arquivos ifcfg-* , mas é isso que funciona para mim, então estou propondo isso como uma resposta.