.

How to set up a firewall using new "FirewallD" on OpenSUSE Linux ..... Setup the firewall and manage with the help of firewall-cmd command-line tool. Hier hat sich ein Autor viel Mühe gemacht und alles ausprobiert. Ich übernehme Teile aus seiner Seite - aber auf Deutsch.
.
Enable the firewall at boot time using the systemctl command:
.

• systemctl enable firewalld - damit wird die Firewall NICHT gestartet !

.
Start the firewall on OpenSUSE Linux:
.

• systemctl start firewalld - hiermit wird die Firewall gestartet

.
Get status of your firewall:
.

• systemctl status firewalld

.

• systemctl disable firewalld - beim nächste "reboot" nicht mehr starten

 .

• systemctl stop firewalld - die Firewall sofort stoppen !!!!
  

 .

• systemctl restart firewalld - laufende Firewall stoppen und sofort neu starten
  

.

Firewalld zones are nothing but predefined sets of rules. You can see all zones by running the following ls command:
.

• ls -l /usr/lib/firewalld/zones/

.
Use the cat command to view drop zone:
.

• cat /usr/lib/firewalld/zones/home.xml
• cat /usr/lib/firewalld/zones/public.xml

.

vordefinierte Zonen
.

1. block – All incoming network connections rejected. Only network connections initiated from within the system are possible.
2. dmz – Classic demilitarized zone (DMZ) zone that provided limited access to your LAN and only allows selected incoming ports.
3. drop – All incoming network connections dropped, and only outgoing network connections allowed.
4. external – Useful for router type of connections. You need LAN and WAN interfaces too for masquerading (NAT) to work correctly.
5. home – Useful for home computers such as laptops and desktops within your LAN where you trust other computers. Allows only selected TCP/IP ports.
6. internal – For use on internal networks when you mostly trust the other servers or computers on the LAN.
7. public – You do not trust any other computers and servers on the network. You only allow the required ports and services. For cloud servers or server hosted at your place always use public zone.
8. trusted – All network connections are accepted. I do not recommend this zone for dedicated servers or VMs connected to WAN.
9. work – For use at your workplace where you trust your coworkers and other servers.

.
Zeige alle Zonen an und mehr :
.

• firewall-cmd --get-zones

.

• grep -i DefaultZone /etc/firewalld/firewalld.conf

.

• cat /usr/lib/firewalld/zones/public.xml

.

• firewall-cmd --get-default-zone

.

• ip link show

.

• firewall-cmd --get-active-zones

.

How to see firewall rules or services associated with the public zone
.

• firewall-cmd --list-all

.

• firewall-cmd --list-all --zone=public

.
Beispiel : remove services dhcpv6-client:
.

• firewall-cmd --remove-service=dhcpv6-client --permanent --zone=public
• firewall-cmd --reload
• firewall-cmd --list-services

.

.

Die "erlaubten" Dienste (nicht die offenen Ports) in der aktuellen (Current) Zone anzeigen. Das mit den Ports kommt weiter unten.
.

• firewall-cmd --list-services

.

• firewall-cmd --list-services --zone=public
• firewall-cmd --list-services --zone=home

.
oder eine Bash Script Datei erstellen :
.

• ## or just use 'sudo firewall-cmd --list-all-zones'
• for z in $(firewall-cmd --get-zones)
• do
• echo "Services allowed in $z zone: $(sudo firewall-cmd --list-services --zone=$z)"
• done

.

Start and enable firewalld als Dienst
.

• systemctl start firewalld - den Dienst temporär sofort starten
• systemctl enable firewalld - den Dienst als Systemstart eintragen

.
Stop and disable den firewalld Dienst
.

• systemctl stop firewalld - die Firewall sofort stoppen
• systemctl disable firewalld - die Firewall aus dem Systemstart austragen

.
"enable" und "disable" starten und stoppen den Firewalld Dienst NICHT. Damit werden die Boot-Einträge ein- und augetragen.
.
Check the firewalld status
.

• firewall-cmd --state

.
Command to reload a firewalld configuration when you make change to rules
.

• firewall-cmd --reload

.
Get the status of the firewalld service
.

• systemctl status firewalld

.

.

Runtime firewalld configuration changes are temporary. When you reboot the OpenSUSE Linux server, they are gone. For example, the following will temporarily open TCP port 80/443 (https) for the web server:
.

•  firewall-cmd --zone=public --add-service=http
•  firewall-cmd --zone=public --add-service=https

.
Diese obigen Vorgaben sind nur temporär, also nach dem "reboot" des Linux Servers oder bei "restarting" der firewalld services ist alles weg !!!!!!.
.
Wie mache (setze) ich die "rules" - to the permanent set ?

Let us add rule (HTTPS/443 and HTTP/80) permanently and reload firewalld:
.

• firewall-cmd --zone=public --add-service=http --permanent
• firewall-cmd --zone=public --add-service=https --permanent

.

• firewall-cmd --reload

Vergewissern wir uns, daß das auch stimmt :

• firewall-cmd --list-services
• firewall-cmd --list-services --permanent

.

.

.

• firewall-cmd --get-services

.

• firewall-cmd --get-services | grep nfs3

.

• ls -l /usr/lib/firewalld/services/

.

• cat /usr/lib/firewalld/services/nfs3.xml

.

Hier kommen ein paar allgemeingültige Beispiele - zum Beispiel zur default zone

Add dns service (TCP/UDP port 53):

• firewall-cmd --zone=public --add-service=dns --permanent

.
How to remove (delete) service from your zone
.
Delete vnc server service (TCP port range 5900-5903):
.

• firewall-cmd --zone=public --remove-service=vnc-server --permanent

.
How to allow/open TCP/UDP port/protocol
.
Open TCP port # 9009:
.

• firewall-cmd --zone=public --add-port=9009/tcp --permanent

.

To view added ports
.

• firewall-cmd --zone=internal --list-ports
  oder
• firewall-cmd --zone=public --list-ports

.
How to deny/block TCP/UDP port/protocol
.
Open TCP port # 23:
.

• firewall-cmd --zone=public --remove-port=23/tcp --permanent

.
How to write port forwarding firewalld rule
.
Forward TCP port 443 to 8080 on the same server:
.

• firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toport=8080 --permanent

.
To delete above port forwarding
.

• firewall-cmd --zone=public --remove-forward-port=port=80:proto=tcp:toport=8080

.

Turn on masquerading if you need to forward traffic (port 443) to lxd server/container hosted at 192.168.2.42 port 443:
.

• firewall-cmd --zone=public --add-masquerade

• firewall-cmd --zone=public --add-forward-port=port=443:proto=tcp:toport=443:toaddr=192.168.2.42 --permanent

.
To delete above masquerading rules

• firewall-cmd --zone=public --remove-masquerade
• firewall-cmd --zone=public --remove-forward-port=port=443:proto=tcp:toport=443:toaddr=192.168.2.42 --permanent

.
As usual use the following to list rules:

• firewall-cmd --zone=public --list-all --permanent

Rich rule firewalld example
.
Say you want to allow access to SSH port 22 only from 192.168.3.5 IP address, run:

• firewall-cmd --permanent --zone=public --add-rich-rule 'rule family="ipv4" source address="192.168.3.5" port port=22 protocol=tcp accept'

.

To verify new rules, run:

• firewall-cmd --list-rich-rules --permanent

.
In this following example allow 192.168.2.0/24 sub/net to access tcp port 11211:
.

• firewall-cmd --permanent --zone=public --add-rich-rule='
• rule family="ipv4"
• source address="192.168.2.0/24"
• port protocol="tcp" port="11211" accept'

.
Again verify it:

• firewall-cmd --list-rich-rules --permanent

.
Beispiel-Ausgaben:
rule family="ipv4" source address="192.168.3.5" port port="22" protocol="tcp" accept
rule family="ipv4" source address="192.168.2.0/24" port port="11211" protocol="tcp" accept
.
You can delete rich rules as follows:

• firewall-cmd --remove-rich-rule 'rule family="ipv4" source address="192.168.3.5" port port=22 protocol=tcp accept' --permanent

.
## delete another rule ##

• firewall-cmd --remove-rich-rule 'rule family="ipv4" source address="192.168.2.0/24" port port="11211" protocol="tcp" accept' --permanent

.

.
Und mehr gibts hier zu lesen : https://firewalld.org/documentation/
.

.

März 2022 - So langsam kommen unter 15.3 immer mehr sonderbare Ereignisse ans Licht. Nach der Eintragung von Port 80 und 443 und weiteren Ports für Sonderzwecke will die Firewall jetzt gar nicht mehr.

Den Staus der Firewall auf der VM prüfen :

• [ftp.net- root] /etc $ firewall-cmd --state

ftp firewalld[2656]: ERROR: 'python-nftables' failed:

internal:0:0-0: Error: Could not process rule: Das numerische Ergebnis ist auÃerhalb des gültigen Bereiches

internal:0:0-0: Error: Could not process rule: Das numerische Ergebnis ist auÃerhalb des gültigen Bereiches

internal:0:0-0: Error: Could not process rule: Das numerische Ergebnis ist auÃerhalb des gültigen Bereiches

internal:0:0-0: Error: Could not process rule: Das numerische Ergebnis ist auÃerhalb des gültigen Bereiches

internal:0:0-0: Error: Could not process rule: Das numerische Ergebnis ist auÃerhalb des gültigen Bereiches
========================================================
.
Die obige Fehler-Zeile kommt sogar 211 mal !!!!
.

Google findet wenige Einträge mit unbrauchbaren Aussagen bzw. Vorschlägen.
Das ist natürlich ganz schön blöd bei einer Firewall, also müsste das Betriebssystem der VM gänzlich neu installiert werden. - Wenn ich eine Lösung habe, werde ich weiter schreiben. Nach 3 Stunden Probieren muß ich erstmal den Frust beseitigen.
.