firewalld: два сетевых адаптера, две зоны. Зона игнорируется

У меня есть сервер под управлением CentOS / RHEL 7.7 с двумя сетевыми интерфейсами. Эти интерфейсы настроены и работают правильно. Первый интерфейс, ens33, является частью «публичной» зоны firewalld. Все правила, применяемые к этой зоне, работают правильно. Второй интерфейс, ens37, также работает должным образом, когда он является членом «публичной» зоны. Я создал вторую зону, «GLZ», в которой есть набор правил, специфичных для функции второго интерфейса. Я не могу получить какие-либо правила из зоны GLZ, чтобы они вступили в силу для этого интерфейса. Я много раз настраивал этот тип настройки с помощью iptables в прошлом, но, похоже, не смог добиться желаемого эффекта с помощью firewalld. Я чувствую, что мне не хватает чего-то фундаментального в firewalld, но я не знаю, что это может быть. Ниже приведены подробности:

Сценарий установки:

NEWZONE="GLZ"

# create the new zone
firewall-cmd --permanent --new-zone=$NEWZONE
firewall-cmd --reload

# add the second NIC to the zone
firewall-cmd --permanent --zone=$NEWZONE --change-interface=ens37
# set zone target
firewall-cmd --zone=$NEWZONE --permanent --set-target=default
firewall-cmd --reload

# open necessary ports
firewall-cmd --permanent --zone=$NEWZONE --add-rich-rule='rule family=ipv4 source address=0.0.0.0/0 port protocol=tcp port=80 accept'
firewall-cmd --permanent --zone=$NEWZONE --add-rich-rule='rule family=ipv4 source address=0.0.0.0/0 port protocol=tcp port=443 accept'
# setup forwarding (see https://docs.fedoraproject.org/en-US/Fedora/19/html/Security_Guide/sec-Configure_Port_Forwarding-CLI.html)
firewall-cmd --permanent --zone=$NEWZONE --add-masquerade
firewall-cmd --permanent --zone=$NEWZONE --add-forward-port=port=22:proto=tcp:toport=2222
firewall-cmd --reload

Судя по выводам --info-zone, это выглядит нормально. Обе зоны активны, и каждой зоне назначен соответствующий сетевой интерфейс. Любые изменения, которые я делаю в публичной зоне, влияют на трафик на обоих интерфейсах, и ни одно из правил, которые я добавляю или удаляю из зоны GLZ, вообще не имеет никакого значения.
Вывод:

$ sudo firewall-cmd --info-zone=public
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens33
  sources:
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
    rule family="ipv4" source address="10.0.0.0/8" port port="3306" protocol="tcp" accept
    rule family="ipv4" source address="10.0.0.0/8" port port="80" protocol="tcp" accept
    rule family="ipv4" source address="10.0.0.0/8" port port="443" protocol="tcp" accept
    rule family="ipv4" source address="10.0.0.0/8" port port="8080" protocol="tcp" accept

$ sudo firewall-cmd --info-zone=GLZ
GLZ (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens37
  sources:
  services:
  ports:
  protocols:
  masquerade: yes
  forward-ports: port=22:proto=tcp:toport=2222:toaddr=
  source-ports:
  icmp-blocks:
  rich rules:
    rule family="ipv4" source address="0.0.0.0/0" port port="80" protocol="tcp" accept
    rule family="ipv4" source address="0.0.0.0/0" port port="443" protocol="tcp" accept