Для firewalld хейторов пишу, firewalld это не часть systemd так что как говорят овчаркам фууу, типа не трогать. Зоны это преднастроеные профили, в каждом профиле указано какие сервисы в нем доступны, т.е. если у вас сервер в dmz, указываете соответсввующую зону и вот вам счастие...ну если вы полный нуб. Firewalld проще и понятнее iptables раз в 100, дауны которые не осиливают его не осилят iptables, доказано. Не нада на меня наезжаеть, у меня Убунта, но firewalld мне нравится. Кстати в нем есть готовые правила для порт-форвардинга, Маскарадинга причем это делается 2-3 командами и понятнее чем в iptables. И да, кстати системд это тоже вещь.