firewalldで特定IPのアクセス拒否する方法

IPアドレス拒否設定
拒否したいIPアドレスを「drop」ゾーンのsourceに追加することで、そのIPからの全ての通信を無音で破棄できます。
単一のIPアドレスを拒否する場合
firewall-cmd --zone=drop --permanent --add-source=xxx.xxx.xxx.xxx
サブネット全体を拒否する場合
firewall-cmd --zone=drop --permanent --add-source=xxx.xxx.xxx.xxx/xx

設定後反映
firewall-cmd --reload
誤って設定した場合 firewall-cmd --zone=drop --permanent --remove-source=xxx.xxx.xxx.xxx
firewall-cmd --reload

source追加の反映確認
dropゾーンにIP/CIDRをsourceとして追加した場合は、当該ゾーンのsources欄に表示されることを確認します。
firewall-cmd --list-sources --zone=drop
永続設定の保存内容を確認したい場合は、--permanentを付けて照会し、reload後に反映されているかを見ます。
firewall-cmd --list-sources --zone=drop --permanent

関連書籍

※本記事はアフィリエイトリンクを含みます。