Firewalld di AlmaLinux 9, Cara Buka dan Tutup Port

Firewalld adalah pengelola firewall bawaan AlmaLinux 9 (dan keluarga RHEL 9 lainnya). Ia tidak menulis aturan iptables secara langsung, melainkan mengelola aturan lewat konsep zona dan service, dengan nftables sebagai backend di versi ini. Alat yang kamu pakai sehari-hari adalah perintah firewall-cmd.

Yang dipertaruhkan bila salah paham cukup besar. Port yang dibuka tanpa --permanent akan hilang saat server reboot, sehingga aplikasi tiba-tiba tidak bisa diakses minggu depan. Sebaliknya, aturan permanent yang lupa di-reload belum berlaku, sehingga kamu mengira port sudah terbuka padahal belum. Dan menutup port SSH di zona yang salah bisa mengunci kamu dari server.

Memastikan firewalld aktif

sudo systemctl enable --now firewalld
sudo firewall-cmd --state

Jawaban running berarti firewalld aktif. Setelah itu lihat zona yang sedang dipakai:

sudo firewall-cmd --get-default-zone
sudo firewall-cmd --get-active-zones
sudo firewall-cmd --list-all

Di instalasi standar, zona bawaan biasanya public, dan --list-all menampilkan service yang sudah diizinkan, umumnya ssh, cockpit, dan dhcpv6-client.

Konsep yang menentukan cara kerja firewalld

Zona: tingkat kepercayaan per antarmuka atau sumber

Setiap antarmuka jaringan (misalnya eth0) dan setiap rentang IP sumber bisa dimasukkan ke satu zona. Aturan buka-tutup berlaku per zona. Beberapa zona bawaan yang penting:

• public: untuk antarmuka yang terhubung ke internet. Hanya service yang dipilih yang diizinkan.
• trusted: semua lalu lintas diizinkan. Cocok untuk jaringan internal yang benar-benar dipercaya, misalnya IP kantor.
• drop: semua paket masuk dibuang tanpa balasan.
• internal dan home: untuk jaringan lokal dengan tingkat kepercayaan menengah.

Bila perintah ditulis tanpa --zone=, firewalld memakai zona bawaan. Di VPS dengan satu antarmuka publik, ini hampir selalu public.

Runtime atau permanent

Firewalld menyimpan dua salinan konfigurasi. Runtime adalah aturan yang sedang berlaku sekarang. Permanent adalah aturan yang disimpan di disk dan dimuat saat firewalld start atau reload.

• Perintah tanpa --permanent hanya mengubah runtime. Langsung berlaku, hilang saat reload atau reboot.
• Perintah dengan --permanent hanya mengubah disk. Belum berlaku sampai firewall-cmd --reload.
• firewall-cmd --runtime-to-permanent menyimpan semua aturan runtime saat ini ke permanent.

Pola yang aman: uji dulu tanpa --permanent, pastikan semua berjalan, lalu simpan dengan --runtime-to-permanent. Atau langsung pakai --permanent diikuti --reload bila kamu sudah yakin.

Service atau port

Firewalld punya daftar service bawaan, seperti http (80/tcp), https (443/tcp), ssh (22/tcp), dan mysql (3306/tcp). Lihat seluruh daftarnya dengan firewall-cmd --get-services. Membuka service lebih mudah dibaca daripada angka port, sedangkan --add-port dipakai untuk port yang tidak punya definisi service, misalnya aplikasi di port 8080.

Perintah buka dan tutup port

# Buka service web
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https

# Buka port tertentu
sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --permanent --add-port=60000-61000/udp

# Terapkan
sudo firewall-cmd --reload

# Tutup lagi
sudo firewall-cmd --permanent --remove-port=8080/tcp
sudo firewall-cmd --permanent --remove-service=cockpit
sudo firewall-cmd --reload

# Cek hasil
sudo firewall-cmd --list-services
sudo firewall-cmd --list-ports

Untuk membuka port sementara, misalnya saat menguji, gunakan --timeout: sudo firewall-cmd --add-port=8080/tcp --timeout=15m. Aturan ini otomatis hilang setelah 15 menit.

Membuka port hanya untuk IP tertentu

Port database atau panel admin sebaiknya tidak dibuka untuk semua orang. Ada dua cara:

# Cara 1: rich rule
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.5" port port="3306" protocol="tcp" accept'

# Cara 2: masukkan IP kantor ke zona trusted
sudo firewall-cmd --permanent --zone=trusted --add-source=203.0.113.5
sudo firewall-cmd --reload

Cara 1 lebih ketat karena hanya membuka satu port untuk satu IP. Cara 2 mengizinkan semua port dari IP tersebut, jadi pakai hanya untuk alamat yang benar-benar kamu kendalikan.

Perbandingan perintah firewalld dan UFW

Bila kamu terbiasa dengan UFW di Ubuntu, tabel berikut membantu menerjemahkan kebiasaan itu. Panduan UFW lengkapnya ada di setting UFW di Ubuntu 24.04.

Kapan memakai service, kapan port, kapan rich rule?

Pakai service untuk layanan standar seperti web, SSH, dan email. Nama service membuat --list-all mudah dibaca oleh admin lain, dan bila definisinya mencakup beberapa port, semuanya ikut terbuka. Pakai port untuk aplikasi buatan sendiri atau port nonstandar. Pakai rich rule atau zona trusted saat aksesnya harus dibatasi ke alamat tertentu, misalnya database, phpMyAdmin, atau dashboard monitoring. Daftar port yang umum dipakai server ada di port penting di server.

Hal yang sering membingungkan

Port container Docker tetap terbuka walau tidak diizinkan di zona public. Docker menulis aturan NAT sendiri untuk port yang dipublikasikan, sehingga lalu lintas ke port itu bisa melewati aturan zona yang kamu kira berlaku. Cara menanganinya dibahas di mengamankan Docker di VPS agar port tidak bocor.

Port sudah dibuka tapi tetap tidak bisa diakses. Cek tiga hal: aplikasinya benar-benar mendengarkan (ss -tlnp), aplikasinya mendengarkan di alamat publik dan bukan hanya 127.0.0.1, dan firewall di panel penyedia VPS tidak memblokir port yang sama.