firewalld, разрешающий неуказанные порты через

Я использую последнюю версию CentOS 7 (версия ядра 3.10.0-1062.4.1.el7.x86_64). Я указал настраиваемую зону firewalld, в которой я указал порт и исходный ipset. Я ожидаю, что должны применяться оба этих критерия. Однако я могу подключиться к системе (с разрешенного IP-адреса источника), но с другого порта.Так ли должна работать конфигурация зоны?

Вот моя конфигурация зоны:

<?xml version="1.0" encoding="utf-8"?>
<zone target="ACCEPT">
  <port port="8080" protocol="tcp"/>
  <source ipset="authorized-ips"/>
</zone>

Вот моя конфигурация ipset:

<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:ip">
  <!-- Bob's system -->
  <entry>192.168.123.123</entry>
  <!-- Bill's system -->
  <entry>192.168.123.124</entry>
</ipset>

Если я подключаюсь через порт 8008 или 8009, я все еще могу получить доступ к приложению через apache. Но я явно не разрешил эти порты через брандмауэр!

Результат выполнения: firewall-cmd --list-all --zone = ACCEPT

Ошибка: INVALID_ZONE: ACCEPT