Firewalld — различия между версиями

Версия 10:43, 21 февраля 2018

Настройка правил файрволла firewalld

Предварительные требования

• Виртуальная машина с двумя сетевыми интерфейсами
• Установленные пакеты: firewalld, firewalld-filesystem

Общая информация

firewalld разделяет весь входящий трафик на зоны, где каждой зоне соответствует свой набор правил. Для проверки принадлежности входящих соединений зоне, используется следующая логика, в которой побеждает первое совпадение:

1. Исходный адрес входящего пакета совпадает с исходным правилом настройки зоны, в таком случае пакет отправляется на обработку в данной зоне.
2. Если исходный интерфейс для пакета совпадает с правилами настройки зоны - эта зона будет использована
3. В противном случае, будет использована зона по-умолчанию. Зона по-умолчанию не отдельная зона, поэтому она указывает на другую зону в системе.

Если поведение по-умолчанию не изменено администратором, либо конфигурацией NetworkManager'а, то зона по-умолчанию для каждого нового интерфейса в системе становится зона public. firewalld поставляется с некоторым количеством сконфигурированных зон. Для управления файрволлом используется команда firewall-cmd. Конфигурационные файлы firewalld находятся в директории /etc/firewalld/

Сконфигрурированные зоны для firewalld

Список основных команд для firewalld

Обычные правила firewalld

Добавим сервис http в зону по-умолчанию:

[root@vm-01 ~]# firewall-cmd --add-service=http --permanent
success
[root@vm-01 ~]# firewall-cmd --list-services 
https dhcpv6-client smtp ssh dns
[root@vm-01 ~]# firewall-cmd --reload
success
[root@vm-01 ~]# firewall-cmd --list-services 
http dns dhcpv6-client smtp ssh https
[root@vm-01 ~]#

"Сложные" правила firewalld

Кроме обычных правил, для открытия/закрытия доступа к сервису или порту, firewalld предлагает системным администраторам два других способа добавления правил "прямые" (direct) правила и "сложные" (rich).

"прямые" правила

Данный вид правил позволяет напрямую управлять файрволлом. Для их применения требуется знание основных концепций ip(6)tables/ebtables, таких как:

• таблицы (filter/mangle/nat)
• цепочки (INPUT/OUTPUT/FORWARD/...)
• команды (-A/-D/-I/...)
• параметры (-p/-s/-d/-j/...)
• целей (ACCEPT/DROP/REJECT/...)

Прямые правила должны быть использованы только в качестве последнего средства, когда невозможно использовать конфигурационные файлы зон. Формат правил следующий:

[--permanent] --direct --add-rule { ipv4 | ipv6 | eb } table chain priority args

Переменная priority используется для порядка очередности правил. Цифра 0 используется для постановки правила на самый верх, далее местонахождение правила в списке зависит от его номера.

[root@serverX ~]# firewall-cmd --direct --permanent --add-chain ipv4 raw blacklist
[root@serverX ~]# firewall-cmd --direct --permanent --add-rule ipv4 raw PREROUTING 0 -s 192.168.0.0/24 - j blacklist
[root@serverX ~]# firewall-cmd --direct --permanent --add-rule ipv4 raw blacklist 0 -m limit --limit 1/min -j LOG --log-prefix "blacklisted"
[root@serverX ~]# firewall-cmd --direct --permanent --add-rule ipv4 raw blacklist 1 -j DROP

"сложные" правила

"сложные" правила позволяют создавать более комплексные правила для файрволла простым и понятным путем. Язык используемый в написании "сложных" правил использует ключевые слова со значениями (в формате переменная=значение) и является абстрактным отображением правил ip*tables.

Ссылки

Описание Firewalld