>  Например, открыть порт только для одного ip

Это как раз таки просто сделано:

firewall-cmd --permanent --new-zone=test
firewall-cmd --permanent --zone=test --add-source=a.b.c.d/net
firewall-cmd --permanent --zone=test --add-port=tcp/22
firewall-cmd --reload

Определил зону. Внёс в неё нужные адреса или сети и открыл всё, что нужно.

Вот для того, чтобы сделать маршрутизатор firewall-cmd не удобен, да. И то простой проброс сделать просто.