Einrichten einer Firewall mit FirewallD unter CentOS 7

Derfirewalld-Daemon verwaltet Regelgruppen mithilfe von Entitäten, die als "Zonen" bezeichnet werden. Zonen sind im Grunde genommen Regelsätze, die festlegen, welcher Datenverkehr zulässig sein soll, abhängig von der Vertrauensstufe, die Sie in die Netzwerke haben, mit denen Ihr Computer verbunden ist. Netzwerkschnittstellen wird eine Zone zugewiesen, um das Verhalten der Firewall festzulegen.

Für Computer, die möglicherweise häufig zwischen Netzwerken wechseln (z. B. Laptops), bietet diese Art der Flexibilität eine gute Methode zum Ändern Ihrer Regeln in Abhängigkeit von Ihrer Umgebung. Möglicherweise gelten strenge Regeln, die den größten Teil des Datenverkehrs in einem öffentlichen WLAN-Netzwerk verbieten, während Sie bei einer Verbindung mit Ihrem Heimnetzwerk lockerere Einschränkungen zulassen. Für einen Server sind diese Zonen nicht so unmittelbar wichtig, da sich die Netzwerkumgebung kaum oder gar nicht ändert.

Unabhängig davon, wie dynamisch Ihre Netzwerkumgebung sein mag, ist es dennoch hilfreich, die allgemeine Idee hinter jeder der vordefinierten Zonen fürfirewalld zu kennen. In der Reihenfolge vonleast trusted bismost trusted sind die vordefinierten Zonen innerhalb vonfirewalld:

Um die Firewall zu verwenden, können wir Regeln erstellen und die Eigenschaften unserer Zonen ändern. Anschließend weisen wir unsere Netzwerkschnittstellen den Zonen zu, die am besten geeignet sind.

In der Firewall können Regeln entweder als permanent oder als unmittelbar festgelegt werden. Wenn eine Regel hinzugefügt oder geändert wird, wird standardmäßig das Verhalten der aktuell ausgeführten Firewall geändert. Beim nächsten Start werden die alten Regeln zurückgesetzt.

Die meistenfirewall-cmd-Operationen können das--permanent-Flag verwenden, um anzuzeigen, dass die nicht kurzlebige Firewall als Ziel ausgewählt werden soll. Dies wirkt sich auf den Regelsatz aus, der beim Booten neu geladen wird. Durch diese Trennung können Sie Regeln in Ihrer aktiven Firewall-Instanz testen und bei Problemen neu laden. Sie können auch das--permanent-Flag verwenden, um im Laufe der Zeit einen ganzen Satz von Regeln zu erstellen, die alle auf einmal angewendet werden, wenn der Befehl zum erneuten Laden ausgegeben wird.

Wir können sehen, welche Zone derzeit als Standardzone ausgewählt ist, indem wir Folgendes eingeben:

Da wirfirewalld keine Befehle gegeben haben, die von der Standardzone abweichen sollen, und keine unserer Schnittstellen für die Bindung an eine andere Zone konfiguriert ist, ist diese Zone auch die einzige "aktive" Zone (die Zone, die steuert) den Verkehr für unsere Schnittstellen). Wir können das überprüfen, indem wir Folgendes eingeben:

Hier sehen wir, dass unser Beispielserver zwei Netzwerkschnittstellen hat, die von der Firewall gesteuert werden (eth0 undeth1). Beide werden derzeit gemäß den für die öffentliche Zone definierten Regeln verwaltet.

Woher wissen wir, welche Regeln mit der öffentlichen Zone verbunden sind? Wir können die Konfiguration der Standardzone ausdrucken, indem wir Folgendes eingeben:

An der Ausgabe können wir erkennen, dass diese Zone sowohl die Standardzone als auch die aktive Zone ist und dass die Schnittstelleneth0 undeth1 dieser Zone zugeordnet sind (all dies wussten wir bereits aus unseren vorherigen Anfragen). Wir können jedoch auch feststellen, dass diese Zone die normalen Vorgänge für einen DHCP-Client (für die Zuweisung von IP-Adressen) und für SSH (für die Remoteverwaltung) zulässt.

Jetzt haben wir eine gute Vorstellung von der Konfiguration für die Standardzone und die aktive Zone. Wir können uns auch über andere Zonen informieren.

Geben Sie Folgendes ein, um eine Liste der verfügbaren Zonen zu erhalten:

Wir können die spezifische Konfiguration einer Zone anzeigen, indem wir den Parameter--zone= in unseren Befehl--list-all aufnehmen:

Sie können alle Zonendefinitionen mit der Option--list-all-zonesausgeben. Wahrscheinlich möchten Sie die Ausgabe zur einfacheren Anzeige in einen Pager leiten:

Sie können eine Schnittstelle zwischen Zonen während einer Sitzung wechseln, indem Sie den Parameter--zone= in Kombination mit dem Parameter--change-interface= verwenden. Wie bei allen Befehlen, die die Firewall ändern, müssen Siesudo verwenden.

Zum Beispiel können wir dieeth0-Schnittstelle in die "Home" -Zone überführen, indem wir Folgendes eingeben:

Note

[.note] # Wenn Sie eine Schnittstelle in eine neue Zone überführen, beachten Sie, dass Sie wahrscheinlich die Dienste ändern, die betriebsbereit sind. Zum Beispiel bewegen wir uns hier in die „Heimatzone“, in der SSH verfügbar ist. Dies bedeutet, dass unsere Verbindung nicht unterbrochen werden darf. In einigen anderen Zonen ist SSH standardmäßig nicht aktiviert. Wenn Ihre Verbindung während der Verwendung einer dieser Zonen unterbrochen wird, können Sie sich möglicherweise nicht erneut anmelden.
#

Wir können überprüfen, ob dies erfolgreich war, indem wir erneut nach den aktiven Zonen fragen:

Wenn alle Ihre Schnittstellen am besten von einer einzigen Zone verwaltet werden können, ist es wahrscheinlich einfacher, die beste Standardzone auszuwählen und diese dann für Ihre Konfiguration zu verwenden.

Sie können die Standardzone mit dem Parameter--set-default-zone= ändern. Dadurch werden alle Schnittstellen, die auf den Standard zurückgesetzt wurden, sofort in die neue Zone geändert:

Die einfachste Methode besteht darin, die Dienste oder Ports, die Sie benötigen, zu den von Ihnen verwendeten Zonen hinzuzufügen. Auch hier können Sie mit der Option--get-serviceseine Liste der verfügbaren Dienste abrufen:

Note

[.Hinweis]##

Weitere Informationen zu jedem dieser Dienste erhalten Sie, indem Sie die zugehörige.xml-Datei im Verzeichnis/usr/lib/firewalld/services anzeigen. Beispielsweise ist der SSH-Dienst folgendermaßen definiert:

/usr/lib/firewalld/services/ssh.xml

Wenn wir zum Beispiel einen Webserver betreiben, der herkömmlichen HTTP-Verkehr bedient, können wir diesen Verkehr für Schnittstellen in unserer "öffentlichen" Zone für diese Sitzung zulassen, indem wir Folgendes eingeben:

Sie können--zone= weglassen, wenn Sie die Standardzone ändern möchten. Wir können überprüfen, ob die Operation erfolgreich war, indem wir die Operationen--list-all oder--list-services verwenden:

Nachdem Sie getestet haben, dass alles ordnungsgemäß funktioniert, möchten Sie wahrscheinlich die Regeln für die permanente Firewall so ändern, dass Ihr Dienst nach einem Neustart weiterhin verfügbar ist. Wir können unseren "öffentlichen" Zonenwechsel dauerhaft machen, indem wir Folgendes eingeben:

Sie können überprüfen, ob dies erfolgreich war, indem Sie der Operation--list-servicesdas Flag--permanenthinzufügen. Sie müssensudo für alle--permanent-Operationen verwenden:

Ihre "öffentliche" Zone lässt jetzt HTTP-Webdatenverkehr auf Port 80 zu. Wenn Ihr Webserver für die Verwendung von SSL / TLS konfiguriert ist, möchten Sie auch den Diensthttpshinzufügen. Das können wir der aktuellen Sitzung und dem permanenten Regelsatz hinzufügen, indem wir Folgendes eingeben:

Die Firewall-Dienste, die in der Firewall-Installation enthalten sind, stellen viele der häufigsten Anforderungen für Anwendungen dar, auf die Sie möglicherweise zugreifen möchten. Es wird jedoch wahrscheinlich Szenarien geben, in denen diese Dienste nicht Ihren Anforderungen entsprechen.

In dieser Situation haben Sie zwei Möglichkeiten.