CentOS/RHEL 7 で IPset ルールを IPtables から Firewalld に変更する

質問

以下のルールには、firewalld で ipset IPtables ルールが必要です:

-A INPUT -p tcp -m set --match-set SQL_1811 src -m set --match-set DB-IPs dst -m tcp --dport 1811 -j ACCEPT

答え

以下の例では、SQL_1811 と DB-IP を 2 つの IP アドレス (10.1.1.2 と 10.1.1.3) の IPset として使用しています。

# firewall-cmd --permanent --new-ipset=SQL_1811 --type=hash:ip
# firewall-cmd --permanent --new-ipset=DB-IPs --type=hash:ip
# firewall-cmd --reload
# firewall-cmd --ipset=SQL_1811 --add-entry=10.1.1.2
# firewall-cmd --ipset=DB-IPs --add-entry=10.1.1.3
# firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p tcp -m set --match-set SQL_1811 src -m set --match-set DB-IPs dst -m tcp --dport 1811 -j ACCEPT