Firewalld - interface que não adiciona à zona

Question

Eu tenho uma interface peervpn "tap0" da qual estou querendo aceitar todo o tráfego. Box é o CentOS 7.

Meu entendimento é que só preciso adicionar a interface à zona "Confiável". Quando eu tento isso tudo parece estar bem, mas a regra não mostra:

[root@ns1 ~]# ifconfig
    <abridged>
    tap0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
            inet 10.9.8.2  netmask 255.255.255.0  broadcast 10.9.8.255
            inet6 fe80::3007:81ff:fe4e:adf9  prefixlen 64  scopeid 0x20<link>
            ether 32:07:81:4e:ad:f9  txqueuelen 1000  (Ethernet)
            RX packets 43  bytes 2618 (2.5 KiB)
            RX errors 0  dropped 0  overruns 0  frame 0
            TX packets 27  bytes 2006 (1.9 KiB)
            TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

    [root@ns1 ~]# firewall-cmd --zone=trusted --permanent --add-interface=tap0
    The interface is under control of NetworkManager and already bound to 'trusted'
    The interface is under control of NetworkManager, setting zone to 'trusted'.
    success
    [root@ns1 ~]# systemctl restart firewalld
    [root@ns1 ~]# firewall-cmd --zone=trusted --list-all
    trusted
      target: ACCEPT
      icmp-block-inversion: no
      interfaces:
      sources:
      services:
      ports:
      protocols:
      masquerade: no
      forward-ports:
      source-ports:
      icmp-blocks:
      rich rules:

Algum conselho sobre por que isso não está funcionando?

    

Answer 1

Este é um problema com o NetworkManager.

Existem algumas maneiras de resolvê-lo:

Atualize para o pacote NetworkManager mais recente, reinicialize e adicione a interface à sua zona com o comando usado e firewall-cmd --complete-reload e systemctl restart firewalld . (A reinicialização pode ou não ser necessária, mas eu fiz apenas no caso.)

Se isso não funcionar, você poderá criar / editar o arquivo xml da sua zona, localizada em /etc/firewalld/zones/*.xml . No seu caso, será trusted.xml . A sintaxe é:

<?xml version="1.0" encoding="utf-8"?>'
<zone>
<short>Trusted</short>
<interface name="tap0"/>
<description>Description of your choice.</description>
</zone> 

Depois disso, firewall-cmd --complete-reload e systemctl restart firewalld e, em seguida, firewall-cmd --list-all , e você verá a interface na zona confiável.

O primeiro método funcionou para mim, mas também confirmei que o segundo método funciona.