firewalld - разрешить ssh-соединения между сервером в определенной зоне и серверами в другой зоне

Сообщество EHLO SF,

Как бы вы настроили firewalld, чтобы разрешить ssh-соединения между сервером (svriac01 / 10.201.10.1) в общей зоне и всеми серверами в зоне приложения (например, svrapp01 / 10.201.6.7)?

зоны пожаротушения

app (active)
  target: default
  icmp-block-inversion: no
  interfaces: 
  sources: 10.201.6.0/23
  services: http https ssh
  ports: 8080/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

shared (active)
  target: default
  icmp-block-inversion: no
  interfaces: 
  sources: 10.201.10.0/23
  services: dns ssh
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0 eth1 eth2 eth3 eth4 eth5 eth6 eth7
  sources: 82.xx.xx.xx 77.xx.xx.xx
  services: cockpit dhcpv6-client http https ssh
  ports: 443/tcp
  protocols: 
  masquerade: yes
  forward-ports: port=8082:proto=tcp:toport=8082:toaddr=10.201.10.2
port=8081:proto=tcp:toport=8081:toaddr=10.201.10.2
port=8083:proto=tcp:toport=8083:toaddr=10.201.10.2
port=8084:proto=tcp:toport=8082:toaddr=10.201.10.253
  source-ports: 
  icmp-blocks: 
  rich rules:

интерфейсы

eth0: 213.xx.xx.xx/28 (public)
eth6: 10.201.7.254/23 (app)
eth7: 10.201.11.254/23 (shared)

Проверки выполнены

nslookup srvapp01 (short name, FQDN & IP) from srviac01     OK

ping gateway (10.201.11.254) from srviac01                  OK
ping srvapp01 (short name, FQDN & IP) from srviac01         OK

telnet gateway (10.201.11.254) port 22 from iac01           OK

Заранее спасибо за вашу помощь