<html>
<head>
<style><!--
.hmmessage P
{
margin:0px;
padding:0px
}
body.hmmessage
{
font-size: 12pt;
font-family:Calibri
}
--></style></head>
<body class='hmmessage'><div dir='ltr'>Thank you both for your very informative replies. I just wish there was a clear outline of these issues somewhere to make it easier to understand what differentiates firewalld from iptables....<br><br>In my case, since I control the firewalls on my computers and servers directly, without interference from other applications, there is not currently a compelling reason I can see to make the switch from iptables to firewalld. I'd make the switch for the sake of "future-proofing", but for firewalld's inability to control outbound connections.<br><br><br><div>&gt; Subject: Re: what are the advantages of firewalld over iptables?<br>&gt; To: firewalld-users@lists.fedorahosted.org<br>&gt; From: laine@redhat.com<br>&gt; Date: Fri, 21 Aug 2015 14:57:26 -0700<br>&gt; <br>&gt; On 08/21/2015 11:50 AM, Patrick Hinkley wrote:<br>&gt; &gt; I believe I've found an explanation regarding the VM issue you mention:<br>&gt; &gt; http://www.atrixnet.com/red-hat-libvirt-kvm-iptables-what-to-do-when-your-kvm-network-stops-working/<br>&gt; &gt; <br>&gt; &gt; If I understand correctly, the issue is that temporary rules inserted<br>&gt; &gt; into iptables by other applications are lost when any of the following<br>&gt; &gt; are called:<br>&gt; <br>&gt; It's more than that. new rules inserted with iptables -I will override<br>&gt; the rules aded by libvirt, often causing trafic to miss libvirt's rules.<br>&gt; <br>&gt; &gt; service iptables stop; service iptables start;<br>&gt; &gt; service iptables restart;<br>&gt; &gt; iptables-restore &lt; /etc/sysconfig/iptables;<br>&gt; &gt; <br>&gt; &gt; This issue would not apply when inserting your own temporary rules by<br>&gt; &gt; such as:<br>&gt; &gt; iptables -A<br>&gt; &gt; <br>&gt; &gt; The issue would also not apply when making your temporary rules<br>&gt; &gt; permanent via:<br>&gt; &gt; service iptables save<br>&gt; <br>&gt; "service iptables save" has its own problems. For starters, it will save<br>&gt; *everything* that is currently in the in-memory rules, not just "what<br>&gt; was previously saved + the rules you want saved". This could mean that<br>&gt; some of the previous rules would be removed from the configuration (it<br>&gt; something had for some reason temporarily removed them) or it could mean<br>&gt; some extra rules that were intended to only be there temporarily would<br>&gt; be permanently added (for example, if a libvirt virtual network is taken<br>&gt; down, libvirt removes the iptables rules that it had previously added,<br>&gt; but if you have saved those rules as you suggest above, then the next<br>&gt; time your iptables service i restarted, all of those rules would be<br>&gt; re-added, even though they are no longer applicable.<br>&gt; <br>&gt; What it all comes down to is that without firewalld, there is no central<br>&gt; controlling authority, so everybody steps all over everybody else. If<br>&gt; all applications that need to modify the iptables rules go through<br>&gt; firewalld, it is in a good position to assure that the various<br>&gt; applications don't interfere with each others' rules.<br>&gt; <br>&gt; (BTW, libvirt looks for the firewalld service, and always uses it if it<br>&gt; is active).<br>&gt; <br>&gt; _______________________________________________<br>&gt; firewalld-users mailing list<br>&gt; firewalld-users@lists.fedorahosted.org<br>&gt; https://lists.fedorahosted.org/mailman/listinfo/firewalld-users<br></div>                                               </div></body>
</html>