Module firewalld Ansible : ouvrir des ports sur RHEL/AlmaLinux

ansible.posix.firewalld: gère firewalld, le pare-feu par défaut sur RHEL 7+, AlmaLinux, RockyLinux. C’est le module n°1 RHCE 2026 pour ouvrir/fermer des ports, autoriser des services prédéfinis (http, https, ssh), et gérer les zones.

Module de la collection ansible.posix — ansible-galaxy collection install ansible.posix requis.

Options critiques : service: (nom prédéfini) ou port: (8080/tcp), state: (enabled / disabled), permanent: true + immediate: true (la règle d’or), zone:.

# Service prédéfini (préférable — humainement lisible)
- ansible.posix.firewalld:
    service: https
    state: enabled
    permanent: true     # survit au reboot
    immediate: true     # appliqué tout de suite (pas besoin de --reload)
    zone: public
  become: true

# Port custom (quand pas de service prédéfini)
- ansible.posix.firewalld:
    port: 8080/tcp
    state: enabled
    permanent: true
    immediate: true
    zone: public
  become: true

# Restreindre par IP source (défense en profondeur)
- ansible.posix.firewalld:
    rich_rule: 'rule family=ipv4 source address=10.10.20.0/24 service name=ssh accept'
    state: enabled
    permanent: true
    immediate: true
    zone: public
  become: true

Sécurité non négociable — la règle d’or permanent + immediate :

permanent: true SEUL = règle qui survit au reboot mais n’est PAS appliquée maintenant (sera active au prochain firewall-cmd --reload). Votre service tourne, le firewall ne laisse rien passer, vous croyez que c’est cassé.
immediate: true SEUL = règle appliquée maintenant mais disparaît au reboot. Vous découvrez l’incident un mois plus tard quand quelqu’un reboot.
Toujours les deux ensemble — c’est la règle d’or, jamais l’une sans l’autre. C’est aussi un objectif RHCE 2026 explicite.

Autres règles :

Préférer service: à port: quand un service prédéfini existe — code plus lisible, intention claire en revue.
rich_rule: pour les restrictions par IP source — empêche un port ouvert d’être atteint depuis Internet alors qu’il ne devrait servir qu’au LAN.
Zones explicites (public, internal, dmz, trusted) — ne jamais ouvrir un service en trusted par défaut.
Auditer régulièrement : firewall-cmd --list-all-zones permet de voir l’état réel ; un playbook ne suffit pas si quelqu’un a fait du firewall-cmd --add-port à la main qui sera perdu au prochain --reload.

Ce que vous allez apprendre

Pourquoi permanent: true ET immediate: true doivent être combinés.
Distinguer service: (nom prédéfini) de port: (port custom).
Segmenter les règles par zone (public, internal, dmz).
Retirer une règle avec state: disabled (pas absent).
Sécuriser un port avec source: pour limiter l’IP autorisée.

Prérequis

Avoir ansible.posix installé : ansible-galaxy collection install ansible.posix.
firewalld doit être démarré sur le managed node : systemd_service: name=firewalld state=started enabled=true.

Le piège `permanent` vs `immediate`

firewalld distingue deux états :

runtime : règles actives maintenant (perdues au reboot).
permanent : règles persistées dans /etc/firewalld/, chargées au reboot.

# ❌ Piege : ouvre maintenant, perd au reboot
- ansible.posix.firewalld:
    service: http
    state: enabled

# ❌ Piege : persiste mais pas applique maintenant
- ansible.posix.firewalld:
    service: http
    state: enabled
    permanent: true

# ✅ Bon : applique maintenant ET persiste
- ansible.posix.firewalld:
    service: http
    state: enabled
    permanent: true
    immediate: true

Règle absolue : toujours permanent: true + immediate: true. Sans les deux, vous tombez dans un des deux pièges classiques.

Service prédéfini (préféré)

- name: Autoriser HTTP et HTTPS
  ansible.posix.firewalld:
    service: "{{ item }}"
    state: enabled
    permanent: true
    immediate: true
  loop: [http, https]

firewall-cmd --get-services liste plus de 100 services prédéfinis : http, https, ssh, dns, dhcp, samba, ftp, smtp, etc. Préférer un service à un port quand possible — l’intent est plus clair (http plutôt que 80/tcp).

Port custom

- name: Ouvrir le port 8080/tcp pour app dev
  ansible.posix.firewalld:
    port: 8080/tcp
    state: enabled
    permanent: true
    immediate: true

Format : <port>/<protocol> — tcp, udp. Plages : 8000-8100/tcp.

Quand utiliser port: plutôt que service: : app custom sans service prédéfini, port non standard, stack interne (Prometheus 9090, Grafana 3000, etc.).

Zones firewalld

- name: SSH dans la zone internal uniquement
  ansible.posix.firewalld:
    service: ssh
    zone: internal
    state: enabled
    permanent: true
    immediate: true

- name: Bloquer SSH dans la zone public
  ansible.posix.firewalld:
    service: ssh
    zone: public
    state: disabled
    permanent: true
    immediate: true

Zones par défaut RHEL : public (la plupart du trafic), internal, trusted, dmz, block, drop. Cas d’usage : un serveur multi-interfaces (eth0 public, eth1 internal) avec règles différentes par zone.

firewall-cmd --get-default-zone donne la zone par défaut. À changer avec :

- ansible.builtin.command: firewall-cmd --set-default-zone=internal
  changed_when: true

Limiter par IP source

- name: SSH uniquement depuis le LAN management
  ansible.posix.firewalld:
    rich_rule: 'rule family="ipv4" source address="10.10.20.0/24" service name="ssh" accept'
    state: enabled
    permanent: true
    immediate: true

rich_rule: permet des règles avancées : limit-rate, log, masquerade, restrictions IP source/destination. Plus puissant que service: simple mais plus verbeux.

Suppression

- name: Retirer le port 8080
  ansible.posix.firewalld:
    port: 8080/tcp
    state: disabled
    permanent: true
    immediate: true

Pas de state: absent pour firewalld — c’est state: disabled. La règle est retirée des fichiers permanents et des règles runtime.

Pattern complet : web stack

- name: Stack web complete
  hosts: web1.lab
  become: true
  tasks:
    - name: Installer httpd
      ansible.builtin.dnf:
        name: httpd
        state: present

    - name: Demarrer httpd
      ansible.builtin.systemd_service:
        name: httpd
        state: started
        enabled: true

    - name: Demarrer firewalld
      ansible.builtin.systemd_service:
        name: firewalld
        state: started
        enabled: true

    - name: Ouvrir HTTP et HTTPS
      ansible.posix.firewalld:
        service: "{{ item }}"
        state: enabled
        permanent: true
        immediate: true
      loop: [http, https]

Ordre : installer → démarrer service applicatif → démarrer firewalld → ouvrir le pare-feu. Le pare-feu en dernier garantit qu’il n’autorise pas du trafic vers un service pas encore prêt.

Pièges courants

Symptôme	Cause	Fix
Port marche maintenant, perd au reboot	`permanent: false` (défaut)	Ajouter `permanent: true`
`permanent: true` mais port non actif	`immediate: false` (défaut)	Ajouter `immediate: true`
Module `firewalld is not running`	firewalld pas démarré	`systemd_service: firewalld started` avant
Règle de zone inattendue	Zone par défaut diffère du déploiement	Spécifier `zone:` explicitement
`state: absent` ne fonctionne pas	Mauvais nom — c’est `disabled`	Utiliser `state: disabled`

À retenir

Module ansible.posix.firewalld: (collection requise).
permanent: true + immediate: true = règle d’or, toujours les deux.
service: > port: quand un service prédéfini existe (lisibilité).
zone: pour segmenter les règles par interface.
state: disabled pour retirer (pas absent).
firewalld doit tourner avant le module.

Pratiquer dans le lab

Cette page a un lab d’accompagnement : labs/modules-rhel/firewalld/ dans stephrobert/ansible-training.

Challenge — sur web1.lab :

Installer + démarrer firewalld.
Autoriser http, https (services prédéfinis).
Ouvrir 8080/tcp et 8443/tcp (ports custom).
Tous avec permanent: true + immediate: true.

Validation pytest+testinfra :

ansible-playbook solution.yml
pytest -v labs/modules-rhel/firewalld/challenge/tests/

9 tests vérifient firewalld actif, services + ports en runtime ET permanent.

Prochaines étapes

Module SELinux Compléter firewalld par SELinux pour une sécurité défense-en-profondeur

Module sysctl Durcissement réseau via paramètres kernel (tcp_syncookies, kptr_restrict)

Module systemd_service Démarrer firewalld avant les règles — pattern d'ordonnancement

Pivot Modules Vue d'ensemble des modules RHEL système, paquets, fichiers