> Всегда удивляло - ну накой нужен firewalld?? Чтобы изучать новый синтаксис

чтоб НЕ изучать никакой вообще. Все за тебя изучили старшие товарищи и довели в решениях пленума.

firewall-cmd --new-zone=mysql-access --permanent
firewall-cmd --zone=mysql-access --add-port=3306/tcp  --permanent
firewall-cmd --reload

Вот это - может быть прямо в пакете с mysqld. А может и не быть но скопипастив ты получишь работающее  - даже нихрена не понимая что тут написано.

НЕЗАВИСИМО от того, что нах...еверчено другими пакетами и твоими кривыми руками если ты хотя бы соблюдаешь общепринятые конвенции. (Кого поймают, добавляющим в default zone  без веских обоснований - вые...ут!)

НЕЗАВИСИМО от того, iptables тут или кривой враппер не умеющий половину правил, или вообще nft.

Любой девляпс справится.

> а если нужно что-то чуть больше, чем он умеет, то iptables/nftables?

нет. Нужно читать про reach rules, а уже потом тянуться грязными ручонками.

Именно по той же причине - чтоб не сломать своей самоделкой системную автоматику.

Если тебе все это не нравится - вероятно, современное линoops администрирование - не для тебя.
Попробуй пройти трехдневные курсы администраторов Exchange. Тебе безусловно понравится.