Un ipset est un groupe nommé d'adresses IP (hôtes ou réseaux) ou d'adresses MAC. firewalld pourra utiliser ces ensembles comme sources sur les zones (avec le préfixe ipset:) ou dans les règles enrichies (rich rules)

La création d'un ipset exige la présence de l'argument --permanent. Pour qu'il puisse être disponible dans le running environnement, il faut recharger le service

firewall-cmd --permanent --new-ipset=blacklisted-hosts --type=hash:ip
 
# Creation d'un ipset avec des adresses ipv6
firewall-cmd --permanent --option=family=inet6 --new-ipset=blacklisted-hosts-v6 --type=hash:ip
 
# MAJ de l'environnement running
firewall-cmd --reload

# Lister les ensembles existants
firewall-cmd --permanent --get-ipsets
 
# Détails de l'ensemble "blacklisted-hosts"
firewall-cmd --info-ipset=blacklisted-hosts
 
#Ajouter un élément à l'esemble
firewall-cmd --ipset=blacklisted-hosts --add-entry=192.168.123.10
 
# Affecter l'ensemble comme source de la zone block pour rejeter tout trafic
firewall-cmd --zone=drop --add-source=ipset:blacklisted-hosts

• https://firewalld.org/documentation/ipset/
• https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html/security_guide/sec-setting_and_controlling_ip_sets_using_firewalld
• https://datacadamia.com/os/linux/firewalld/ipset