CentOS8/7でFirewallDを使い始める

デフォルトのFirewallDルール

Firewalldルールを設定する前に、デフォルトで使用されているゾーンを確認する必要があります：

# firewall-cmd --get-default-zone

Firewalldをインストールしたばかりで、まだ設定していないため、デフォルトのゾーンは public 。

アクティブゾーンを確認してください。同じゾーンは1つだけです—パブリック：

# firewall-cmd --get-active-zones

public
interfaces: eth0

ご覧のとおり、eth0インターフェースは public によって管理されています ゾーン。

# ip link show
または：
# nmcli device status

アクティブゾーンのルールを表示するには、次のコマンドを使用します：

# firewall-cmd --list-all

public (active)
target: default
icmp-block-inversion: no
interfaces: eth0
sources:
services: dhcpv6-client ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:

このリストでは、DHCPクライアントとSSHに関連する一般的な操作がゾーンに追加されていることがわかります。

利用可能なゾーン

すべてのゾーンのリストを表示するには、次のコマンドを実行します：

# firewall-cmd --get-zones

次のリストがあります：

block dmz drop external home internal public trusted work

特定のゾーンのルールを表示するには、コマンドに-zoneフラグを追加します。

# firewall-cmd --zone=home --list-all

home
target: default
icmp-block-inversion: no
interfaces:
sources:
services: dhcpv6-client mdns samba-client ssh
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:

すべてのゾーンのルールを表示できます：

# firewall-cmd --list-all-zones

デフォルトゾーンを変更するには？

デフォルトでは、すべてのネットワークインターフェースはパブリックにあります ゾーンですが、次のコマンドを使用して任意のゾーンに移動できます：

# firewall-cmd --zone=home —change-interface=eth0

– zone =の後に必要なゾーンを指定します パラメータ。

デフォルトのゾーンをホームに変更するには、次のコマンドを実行します。

# firewall-cmd --set-default-zone=home

FirewallDにアプリルールを追加するには？

アプリのポートを開くには、例外としてサービスを追加できます。利用可能なサービスのリストを表示する方法は次のとおりです。

# firewall-cmd --get-services

出力には多くのサービスが含まれます。サービスに関する詳細情報は、その XMLに含まれています。 ファイル。これらのファイルは/usr / lib / firewalld/servicesにあります。

例：

# cd /usr/lib/firewalld/services
# cat smtp.xml

<?xml version="1.0" encoding="utf-8"?>
<service>
<short>Mail (SMTP)</short>
<description>This option allows incoming SMTP mail delivery. If you need to allow remote hosts to connect directly to your machine to deliver mail, enable this option. You do not need to enable this if you collect your mail from your ISP's server by POP3 or IMAP, or if you use a tool such as fetchmail. Note that an improperly configured SMTP server can allow remote machines to use your server to send spam.</description>
<port protocol="tcp" port="25"/>
</service>

XMLファイルには、サービスの説明、プロトコル、firewalldで開くポートの数が含まれています。

ルールを追加するときは、– add-serviceを使用できます 特定のサービスへのファイアウォールアクセスを許可するパラメータ：

# firewall-cmd --zone=public --add-service=http
# firewall-cmd --zone=public --add-service=https

ルールを追加した後、サービスが指定されたゾーンに追加されているかどうかを確認できます。

# firewall-cmd --zone=public --list-services

dhcpv6-client http https ssh

ルールを永続的にする場合は、–永続的を使用します それらを追加するときのパラメータ。

ゾーンからサービスを削除するには：

# firewall-cmd --permanent --zone=public --remove-service=http
# firewall-cmd --zone=public --permanent --list-services

dhcpv6-client https ssh test

yj例外にサービスを追加する場合は、 XMLを作成できます。 自分でファイルし、そこでデータを指定します。任意のサービスからデータをコピーして、名前、説明、ポート番号を変更できます。

smtp.xmlをコピーします ユーザーサービスのディレクトリへ：

# cp /usr/lib/firewalld/services/smtp.xml /etc/firewalld/services

ファイル内のサービスの説明を変更します。

XMLファイルの名前も変更する必要があります（サービスをテストと呼びました） ）。次に、firewalldを再起動し、サービスがリストに表示されていることを確認します。

# firewall-cmd --get-services

syslog-tls telnet test tftp

これで、サービスを任意のゾーンに追加できます：

# firewall-cmd --zone=public --add-service=test --permanent
# firewall-cmd --zone=public --permanent --list-services

dhcpv6-client http https ssh test

リストにサービスが見つからない場合は、次のコマンドを使用して、firewalldで必要なポートを開くことができます。

# firewall-cmd --zone=public —add-port=77/tcp — TCPを開きます ポート77
# firewall-cmd --zone=public —add-port=77/udp — UDPを開きます ポート77
# firewall-cmd --zone=public —add-port=77-88/udp — UDPを開きます ポート範囲77-88
# firewall-cmd --zone=public —list-ports —許可されたポートのリストを表示します

ICMPリクエストをブロック/許可するには：

# firewall-cmd --zone=public --add-icmp-block=echo-reply
# firewall-cmd --zone= public --remove-icmp-block=echo-reply>

追加されたポートを削除するには：
# firewall-cmd --zone=public —remove-port=77/udp — UDPのランタイムルールを削除します ポート77

# firewall-cmd --permanent --zone=public —remove-port=77/udp —永続的なルールを削除します

FirewallDで新しいゾーンを作成するにはどうすればよいですか？

独自のゾーンを作成できます（これを私たちと呼びます） ）：

# firewall-cmd --permanent --new-zone=our

サービスを作成した後など、新しいゾーンを作成した後は、 firewalldを再起動する必要があります ：

# firewall-cmd --reload
# firewall-cmd --get-zones

block dmz drop external home internal our public trusted work

私たち ゾーンが利用可能です。サービスを追加したり、いくつかのポートを開いたりできます。

Firewalld：IPアドレスをブロックして例外を作成する方法

信頼できるIPアドレスをfirewalld例外に追加したり、不要なIPアドレスをブロックしたりできます。

IPアドレス（8.8.8.8など）を追加するには、firewalldを使用してサーバーに例外を追加するには、次のコマンドを実行します。

# firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="8.8.8.8" accept'

ゾーンをチェックし、IPアドレスを確認します リッチルールの例外に追加されました：

# firewall-cmd --zone=public --list-all

public (active)
target: default
icmp-block-inversion: no
interfaces: eth0
sources:
services: dhcpv6-client http https ssh test
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
rule family="ipv4" source address="8.8.8.8" accept

IPアドレスをブロックするには、承認を置き換えます 拒否 ：

# firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="8.8.4.4" reject'
# firewall-cmd --zone=public --list-all

public (active)
target: default
icmp-block-inversion: no
interfaces: eth0
sources:
services: dhcpv6-client http https ssh test
ports:
protocols:
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
rule family="ipv4" source address="8.8.8.8" accept
rule family="ipv4" source address="8.8.4.4" reject

サービスが特定のIPアドレスからのリクエストのみを受け入れることを許可できます：

#firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source address="192.168.1.0/24" service name="https" accept'

サーバーへのすべてのリクエストをすばやくブロックする場合は、パニックコマンドを使用します。

# firewall-cmd --panic-on

次のコマンドでパニックモードを無効にできます：

# firewall-cmd --panic-off

または、サーバーを再起動します。

ルート権限を持つローカルサービスが作成したファイアウォールルールを変更できないように、firewalld構成をブロックできます。

# firewall-cmd --lockdown-on

ロックダウンモードを無効にするには：

# firewall-cmd --lockdown-off