目的

CentOS7のfirewalldで、特定のポート/プロトコルを通信許可する設定をすること
※「とりあえずこのポート通したい」などの状況を想定しています

firewalldでの通信制御

firewalldでは、事前に定義されたzoneに対して通信許可/遮断のルールを適用し、そのzoneを各NICに割り当てることで、制御を行います。

zone

デフォルトでpublic, dmzなど9つのゾーンが用意されています。
詳細はこちらを参照ください
firewalldの設定方法（基本設定編）

各zoneの設定は /usr/lib/firewalld/zones/配下にxmlファイルとして配置されています。

publicゾーンのxml(デフォルト設定)を確認する
[root@testvm1 ~]# cat /usr/lib/firewalld/zones/public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
</zone>

以下のコマンドでもゾーンの設定を確認できます

[root@testvm1 ~]# firewall-cmd --list-all --zone=public
public (active)
  target: default　　             制御内容(許可/拒否)
※ACCEPT(ルールに適するものを無効、他を許可), DROP(ルールに適するものを許可、他を無効), REJECTがある
※defaultはzoneによって3つのうちのいずれかになるらしい
  icmp-block-inversion: no　　　　icmp-blocksで定義したICMPタイプの許可/拒否が逆になる（デバッグ用）
  interfaces: eth0 eth1 eth2   　 zoneを設定するNIC
  sources:　　　　　　　　　　　　　許可/拒否する送信元IPアドレス/NW
  services: ssh dhcpv6-client　　 許可/拒否するサービス（port/protcol）
  ports:　　　　　　　　　　　　　　許可/拒否するポート
  protocols:　　　　　　　　　　　　許可/拒否するプロトコル
  masquerade: no　　　　　　　　　 IPマスカレード（NAPT）の設定ON/OFF
  forward-ports:　　　　　　　　　 ポート変換の設定
  source-ports:　　　　　　　　　　許可/拒否する送信元ポート/プロトコル
  icmp-blocks:　　　　　　　　　　 拒否するICMPのタイプ
  rich rules:　　　　　　　　　　　より細かいルールの設定

特定ポートの通信を許可する

80/tcpのポートへの通信許可を設定してみます

1.firewalldを起動

[root@testvm1 ~]# systemctl start firewalld
[root@testvm1 ~]# systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)
   Active: active (running) since Sat 2020-01-11 09:23:06 UTC; 6h ago
     Docs: man:firewalld(1)
 Main PID: 5742 (firewalld)
   CGroup: /system.slice/firewalld.service
           mq5742 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid

2.(デフォルトのZoneである)Publicの設定状態を表示（確認）

[root@testvm1 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0 eth1 eth2
  sources:
  services: ssh dhcpv6-client
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

3.publicゾーンのservicesの設定にhttpを追加

zoneと同様に、service一覧は/usr/lib/firewalld/services配下のxmlで確認できます
--permanentを指定すると恒久設定(再起動で元に戻らない)となりますが、即時反映はされないので「firewall-cmd --reload」で設定反映が必要となります

[root@testvm1 ~]# firewall-cmd --permanent --zone=public --add-service=http
success
[root@testvm1 ~]# firewall-cmd --reload
success
[root@testvm1 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0 eth1 eth2
  sources:
  services: ssh dhcpv6-client http
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

以上でとりあえずhttpポートへ通信できるように設定できます

おまけ

servicesの一覧`/usr/lib/firewalld/services`に無いポートを開けたい場合

（80/tcpを開ける場合）
[root@testvm1 ~]# firewall-cmd --permanent --zone=public --add-port=80/tcp
success
[root@testvm1 ~]# firewall-cmd --reload
success
[root@testvm1 ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0 eth1 eth2
  sources:
  services: ssh dhcpv6-client http
  ports: 80/tcp
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

参考

RedHatページ
　　RedHatカスタマポータル「第5章ファイアウォールの使用」

こちらも参考にさせていただきました
　　【すぐわかる】CentOSのポート開放のやり方
　　 firewalldの設定方法（基本設定編）
　　CentOS 7 firewalld よく使うコマンド

ちなみにUDPでの疎通確認はこちら
　　UDPの疎通確認はtracerouteよりncが便利