filewalldのIP制限が適用されない

Question

CentOS7でSSHにIP制限をかけたいのですが、
下記の設定では別のIPでもあっさりと接続できてしまいます。
何が間違っているのでしょうか。。？

環境：CensOS7
SSHポート：22から2222に変更
許可したいIP:XX.XX.XX.XX

firewall-cmd --permanent --zone=public --add-service=http
firewall-cmd --permanent --zone=public --add-service=https
firewall-cmd --permanent --add-port=2222/tcp
firewall-cmd --remove-service=ssh --zone=public --permanent
firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="XX.XX.XX.XX" port protocol="tcp" port="2222" accept"
firewall-cmd --reload

追記

firewall-cmd --list-all

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources: 
  services: dhcpv6-client http https
  ports: 2222/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
	rule family="ipv4" source address="XX.XX.XX.XX" port port="2222" protocol="tcp" accept

/etc/firewalld/zones/public.xml

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="dhcpv6-client"/>
  <service name="http"/>
  <service name="https"/>
  <port protocol="tcp" port="2222"/>
  <rule family="ipv4">
    <source address="XX.XX.XX.XX"/>
    <port protocol="tcp" port="2222"/>
    <accept/>
  </rule>
</zone>

Comments

[take88]

まずは設定を確認してみると良いと思います。firewall-cmd --list-allを実行して結果を書いてもらえますか？

[退会済みユーザー]

ありがとうございます。結果を追記いたしました。

[take88]

パット見変なところはなさそうですね。Public ゾーンが eth0 に割り当てられてますが、それ以外のNICが合ったりしませんか？

[退会済みユーザー]

ls /sys/class/net/
eth0 lo

ないんですよね。。
もっと上位層の問題ですかね。。(conoha vps)

[take88]

許可したいIPはグローバルIPですか？

[退会済みユーザー]

はい、グローバルIPです

[退会済みユーザー]

無事解決しました。
お騒がせしてすみません。
ありがとうございました。

Answer 1

SSHポート：22から2222に変更

firewalld側のssh設定部分がうまく変更されていないことが原因でした。
/usr/lib/firewalld/services/ssh.xml