Comment configurer un pare-feu à l’aide de FirewallD sur CentOS 7

Le démonfirewalld gère des groupes de règles à l'aide d'entités appelées «zones». Les zones sont essentiellement des ensembles de règles qui dictent le trafic à autoriser en fonction du niveau de confiance que vous avez dans les réseaux auxquels votre ordinateur est connecté. Une zone est affectée aux interfaces réseau pour déterminer le comportement que le pare-feu doit autoriser.

Ce type de flexibilité est une bonne méthode pour modifier les règles en fonction de votre environnement pour les ordinateurs susceptibles de passer fréquemment d’un réseau à l’autre (tels que les ordinateurs portables). Vous pouvez avoir mis en place des règles strictes interdisant la majorité du trafic lorsque vous travaillez sur un réseau WiFi public, tout en autorisant des restrictions plus souples lors de la connexion à votre réseau domestique. Pour un serveur, ces zones ne sont pas aussi importantes immédiatement car l'environnement réseau change rarement, voire jamais.

Quelle que soit la dynamique de votre environnement réseau, il est toujours utile de se familiariser avec l'idée générale derrière chacune des zones prédéfinies pourfirewalld. Dans l'ordre deleast trusted àmost trusted, les zones prédéfinies à l'intérieur defirewalld sont:

Pour utiliser le pare-feu, nous pouvons créer des règles et modifier les propriétés de nos zones, puis affecter nos interfaces réseau aux zones les plus appropriées.

Dans firewalld, les règles peuvent être désignées comme permanentes ou immédiates. Si une règle est ajoutée ou modifiée, le comportement du pare-feu en cours d'exécution est modifié par défaut. Au prochain démarrage, les anciennes règles seront annulées.

La plupart des opérationsfirewall-cmd peuvent utiliser l'indicateur--permanent pour indiquer que le pare-feu non éphémère doit être ciblé. Cela affectera le jeu de règles rechargé au démarrage. Cette séparation signifie que vous pouvez tester les règles dans votre instance de pare-feu active, puis recharger en cas de problème. Vous pouvez également utiliser l'indicateur--permanent pour créer un ensemble complet de règles au fil du temps qui seront toutes appliquées en même temps lorsque la commande de rechargement est émise.

Nous pouvons voir quelle zone est actuellement sélectionnée par défaut en tapant:

Puisque nous n'avons donné àfirewalld aucune commande pour s'écarter de la zone par défaut, et qu'aucune de nos interfaces n'est configurée pour se lier à une autre zone, cette zone sera également la seule zone «active» (la zone qui contrôle le trafic pour nos interfaces). Nous pouvons vérifier cela en tapant:

Ici, nous pouvons voir que notre exemple de serveur a deux interfaces réseau contrôlées par le pare-feu (eth0 eteth1). Ils sont tous deux en cours de gestion selon les règles définies pour la zone publique.

Comment savons-nous quelles règles sont associées à la zone publique? Nous pouvons imprimer la configuration de la zone par défaut en tapant:

Nous pouvons dire à partir de la sortie que cette zone est à la fois la zone par défaut et active et que les interfaceseth0 eteth1 sont associées à cette zone (nous savions déjà tout cela lors de nos précédentes enquêtes). Cependant, nous pouvons également constater que cette zone autorise les opérations normales associées à un client DHCP (pour l'attribution d'adresse IP) et à SSH (pour l'administration à distance).

Nous avons maintenant une bonne idée de la configuration de la zone par défaut et de la zone active. Nous pouvons également trouver des informations sur d'autres zones.

Pour obtenir une liste des zones disponibles, tapez:

Nous pouvons voir la configuration spécifique associée à une zone en incluant le paramètre--zone= dans notre commande--list-all:

Vous pouvez générer toutes les définitions de zone à l'aide de l'option--list-all-zones. Vous voudrez probablement diriger la sortie dans un pager pour une visualisation plus facile:

Vous pouvez effectuer la transition d'une interface entre des zones au cours d'une session en utilisant le paramètre--zone= en combinaison avec le paramètre--change-interface=. Comme pour toutes les commandes qui modifient le pare-feu, vous devrez utilisersudo.

Par exemple, nous pouvons faire la transition de notre interfaceeth0 vers la zone «home» en tapant ceci:

Note

[.note] # Chaque fois que vous effectuez la transition d'une interface vers une nouvelle zone, sachez que vous modifiez probablement les services qui seront opérationnels. Par exemple, ici, nous passons à la zone «home», où SSH est disponible. Cela signifie que notre connexion ne doit pas chuter. Certaines autres zones n'ont pas SSH activé par défaut et si votre connexion est interrompue lors de l'utilisation de l'une de ces zones, vous risquez de ne pas pouvoir vous reconnecter.
#

Nous pouvons vérifier que cela a réussi en demandant à nouveau les zones actives:

Si toutes les interfaces peuvent être gérées au mieux par une seule zone, il est probablement plus simple de sélectionner la meilleure zone par défaut, puis de l’utiliser pour votre configuration.

Vous pouvez modifier la zone par défaut avec le paramètre--set-default-zone=. Ceci changera immédiatement toute interface qui était tombée sur la valeur par défaut vers la nouvelle zone:

La méthode la plus simple consiste à ajouter les services ou les ports dont vous avez besoin aux zones que vous utilisez. Encore une fois, vous pouvez obtenir une liste des services disponibles avec l'option--get-services:

Note

[.Remarque]##

Vous pouvez obtenir plus de détails sur chacun de ces services en regardant leur fichier.xml associé dans le répertoire/usr/lib/firewalld/services. Par exemple, le service SSH est défini comme ceci:

/usr/lib/firewalld/services/ssh.xml

Par exemple, si nous exploitons un serveur Web servant du trafic HTTP conventionnel, nous pouvons autoriser ce trafic pour les interfaces de notre zone «publique» pour cette session en tapant:

Vous pouvez omettre les--zone= si vous souhaitez modifier la zone par défaut. Nous pouvons vérifier que l'opération a réussi en utilisant les opérations--list-all ou--list-services:

Une fois que vous avez vérifié que tout fonctionne comme il se doit, vous souhaiterez probablement modifier les règles de pare-feu permanentes afin que votre service soit toujours disponible après un redémarrage. Nous pouvons rendre notre changement de zone «publique» permanent en tapant:

Vous pouvez vérifier que cela a réussi en ajoutant l'indicateur--permanent à l'opération--list-services. Vous devez utilisersudo pour toutes les opérations--permanent:

Votre zone «publique» autorisera désormais le trafic Web HTTP sur le port 80. Si votre serveur Web est configuré pour utiliser SSL / TLS, vous souhaiterez également ajouter le servicehttps. Nous pouvons ajouter cela à la session en cours et au jeu de règles permanent en tapant:

Les services de pare-feu inclus dans l'installation de firewalld représentent la plupart des exigences les plus courantes pour les applications auxquelles vous pouvez autoriser l'accès. Cependant, il y aura probablement des scénarios où ces services ne répondent pas à vos besoins.

Dans cette situation, vous avez deux options.