Error: Can not enable/disable this ruleset

Products

• VMware vSphere ESXi
• VMware vSAN

Issue/Introduction

When attempting to modify certain firewall rules on ESXi 8.0 hosts, the operation fails with a system-owned ruleset error. This occurs when using the vSphere Client or the ESXCLI command line.

Symptoms

• Modifying the vsanmgmt-https-tunnel ruleset fails.
• The following error is displayed: An error occurred during host configuration: . Operation failed, diagnostics report: Invalid operation requested: Can not change allowed ip list this ruleset, it is owned by system service.
• Running esxcli network firewall ruleset set --ruleset-id vsanmgmt-https-tunnel --allowed-all true returns: Invalid operation requested: Can not change allowed ip list this ruleset, it is owned by system service.

Environment

• VMware ESXi 8.0 
• VMware vSAN 8.x

Cause

Starting with ESXi 8.0, certain firewall rulesets are classified as System Owned. These rules are managed automatically by the ESXi host based on the status of associated services. Users are restricted from manually enabling, disabling, or modifying the allowed IP list for these specific rulesets to ensure system stability.

Resolution

System-owned firewall rules do not require manual modification. The host manages the vsanmgmt-https-tunnel rule internally.

To identify which rules are user-configurable versus system-owned, run the following command:

 esxcli network firewall ruleset list

Review the Enable/Disable configurable and Allowed IP configurable columns. If these are set to false, the rule is system-managed.

Name                         Enabled  Enable/Disable configurable  Allowed IP configurable
---------------------------  -------  ---------------------------  -----------------------
sshServer                       true                         true                     true
sshClient                      false                         true                     true
nfsClient                      false                        false                    false
nfs41Client                    false                        false                    false
dhcp                           false                        false                     true
dns                             true                         true                     true
snmp                           false                        false                     true
ntpClient                      false                        false                     true
CIMHttpServer                  false                        false                     true
CIMHttpsServer                 false                        false                     true
CIMSLP                         false                        false                     true
iSCSI                           true                        false                     true
vpxHeartbeats                   true                        false                     true
updateManager                   true                         true                     true
faultTolerance                  true                         true                     true
webAccess                       true                         true                     true
vMotion                         true                        false                     true
vSphereClient                   true                         true                     true
activeDirectoryAll             false                        false                     true
NFC                             true                        false                     true
HBR                             true                        false                     true
ftpClient                      false                         true                     true
httpClient                     false                         true                     true
gdbserver                      false                         true                     true
DVFilter                       false                         true                     true
DHCPv6                          true                        false                     true
DVSSync                         true                        false                     true
syslog                         false                         true                     true
WOL                             true                         true                     true
vSPC                           false                         true                     true
remoteSerialPort               false                         true                     true
rdt                            false                        false                     true
cmmds                          false                        false                     true
ipfam                          false                         true                     true
iofiltervp                      true                        false                     true
esxupdate                      false                        false                     true
vsanEncryption                 false                        false                    false
pvrdma                         false                         true                     true
vic-engine                     false                         true                     true
etcdClientComm                  true                        false                     true
etcdPeerComm                    true                        false                     true
settingsd                      false                        false                     true
vdfs                           false                        false                     true
gstored                        false                        false                     true
trusted-infrastructure-kmxd    false                        false                    false
iwarp-pm                       false                         true                     true
ptpd                           false                        false                     true
trusted-infrastructure-kmxa    false                        false                    false
nvmetcp                        false                        false                     true
esxio-orchestrator             false                        false                     true
esxioComm                      false                        false                     true
nvmemdns                       false                        false                     true
proxy                          false                        false                    false
dpd                            false                        false                     true
vltd                           false                        false                     true
vsanhealth-unicasttest         false                        false                     true
vsanmgmt-https-tunnel          false                        false                     true

 

Additional Information

For defects and enhancements, users may subscribe to this article to receive updates on future policy changes regarding firewall immutability.