CentOS 7でFirewallDを使用してファイアウォールを設定する方法

firewalldデーモンは、「ゾーン」と呼ばれるエンティティを使用してルールのグループを管理します。 ゾーンは基本的に、コンピューターが接続されているネットワークでの信頼のレベルに応じて許可されるトラフィックを決定するルールのセットです。 ネットワークインターフェースには、ファイアウォールが許可する動作を指示するゾーンが割り当てられます。

ネットワーク間を頻繁に移動する可能性のあるコンピューター（ラップトップなど）の場合、この種の柔軟性は、環境に応じてルールを変更するための優れた方法を提供します。 パブリックWiFiネットワークでの操作時にはほとんどのトラフィックを禁止し、ホームネットワークへの接続時にはより緩和された制限を許可する厳格なルールが設定されている場合があります。 サーバーにとって、これらのゾーンはそれほど重要ではありません。なぜなら、ネットワーク環境はめったに変更されないからです。

ネットワーク環境がどれほど動的であるかに関係なく、firewalldの事前定義された各ゾーンの背後にある一般的な考え方に精通していると便利です。 least trustedからmost trustedの順に、firewalld内の事前定義されたゾーンは次のとおりです。

ファイアウォールを使用するには、ルールを作成してゾーンのプロパティを変更し、ネットワークインターフェイスを最も適切なゾーンに割り当てます。

firewalldでは、ルールを永続的または即時として指定できます。 ルールが追加または変更されると、デフォルトで、現在実行中のファイアウォールの動作が変更されます。 次回の起動時に、古いルールが元に戻ります。

ほとんどのfirewall-cmd操作は、--permanentフラグを使用して、非エフェメラルファイアウォールをターゲットにする必要があることを示すことができます。 これは、ブート時に再ロードされるルールセットに影響します。 この分離は、アクティブなファイアウォールインスタンスでルールをテストし、問題がある場合はリロードできることを意味します。 また、--permanentフラグを使用して、reloadコマンドが発行されたときにすべて一度に適用される、時間の経過に伴うルールのセット全体を構築することもできます。

次のように入力すると、現在デフォルトとして選択されているゾーンを確認できます。

デフォルトゾーンから逸脱するコマンドをfirewalldに指定しておらず、インターフェイスが別のゾーンにバインドするように構成されていないため、そのゾーンも唯一の「アクティブ」ゾーン（制御しているゾーン）になりますインターフェイスのトラフィック）。 次のように入力して確認できます。

ここでは、サンプルサーバーにファイアウォールによって制御されている2つのネットワークインターフェイス（eth0とeth1）があることがわかります。 どちらも現在、パブリックゾーンに定義されたルールに従って管理されています。

しかし、どのようなルールがパブリックゾーンに関連付けられているかをどのようにして知るのでしょうか？ 次のように入力して、デフォルトゾーンの構成を印刷できます。

出力から、このゾーンがデフォルトでアクティブであり、eth0およびeth1インターフェイスがこのゾーンに関連付けられていることがわかります（これは以前の問い合わせからすでにわかっています）。 ただし、このゾーンでは、DHCPクライアント（IPアドレス割り当て用）およびSSH（リモート管理用）に関連付けられた通常の操作が許可されていることもわかります。

これで、デフォルトゾーンとアクティブゾーンの構成についての良いアイデアが得られました。 他のゾーンに関する情報も見つけることができます。

利用可能なゾーンのリストを取得するには、次を入力します。

--list-allコマンドに--zone=パラメータを含めることで、ゾーンに関連付けられた特定の構成を確認できます。

--list-all-zonesオプションを使用すると、すべてのゾーン定義を出力できます。 表示を簡単にするために、出力をページャーにパイプすることをお勧めします。

--zone=パラメータを--change-interface=パラメータと組み合わせて使用​​することにより、セッション中にゾーン間のインターフェイスを移行できます。 ファイアウォールを変更するすべてのコマンドと同様に、sudoを使用する必要があります。

たとえば、次のように入力して、eth0インターフェイスを「ホーム」ゾーンに移行できます。

Note

[.note]＃インターフェースを新しいゾーンに移行するときは常に、操作可能なサービスを変更している可能性があることに注意してください。 たとえば、ここではSSHが利用可能な「ホーム」ゾーンに移動しています。 これは、接続が切断されないことを意味します。 他の一部のゾーンでは、デフォルトでSSHが有効になっておらず、これらのゾーンの1つを使用しているときに接続が切断されると、再度ログインできない場合があります。
＃

アクティブゾーンを再度要求することで、これが成功したことを確認できます。

すべてのインターフェイスを単一のゾーンで最適に処理できる場合は、最適なデフォルトゾーンを選択して、それを構成に使用する方がおそらく簡単です。

--set-default-zone=パラメータを使用してデフォルトゾーンを変更できます。 これにより、デフォルトにフォールバックしていたすべてのインターフェイスが新しいゾーンにすぐに変更されます。

最も簡単な方法は、使用しているゾーンに必要なサービスまたはポートを追加することです。 ここでも、--get-servicesオプションを使用して利用可能なサービスのリストを取得できます。

Note

[。注意]＃＃

これらの各サービスの詳細については、/usr/lib/firewalld/servicesディレクトリ内の関連する.xmlファイルを参照してください。 たとえば、SSHサービスは次のように定義されます。

/usr/lib/firewalld/services/ssh.xml

たとえば、従来のHTTPトラフィックを処理するWebサーバーを実行している場合、次のように入力することで、このセッションの「パブリック」ゾーンのインターフェイスにこのトラフィックを許可できます。

デフォルトのゾーンを変更する場合は、--zone=を省略できます。 --list-allまたは--list-services操作を使用して、操作が成功したことを確認できます。

すべてが正常に機能していることをテストしたら、おそらく再起動後もサービスが利用できるように永続的なファイアウォールルールを変更する必要があります。 次のように入力して、「パブリック」ゾーンの変更を永続的にすることができます。

--list-services操作に--permanentフラグを追加することにより、これが成功したことを確認できます。 --permanent操作にはsudoを使用する必要があります。

「パブリック」ゾーンは、ポート80でHTTP Webトラフィックを許可します。 WebサーバーがSSL / TLSを使用するように構成されている場合は、httpsサービスも追加する必要があります。 次のように入力して、現在のセッションと永続的なルールセットに追加できます。

firewalldインストールに含まれているファイアウォールサービスは、アクセスを許可するアプリケーションの最も一般的な要件の多くを表しています。 ただし、これらのサービスが要件に合わないシナリオが存在する可能性があります。

この状況では、2つのオプションがあります。