Korištenje FirewallD-a za upravljanje vatrozidom na CentOS-u 7

FirewallD je dinamički upravljani vatrozid koji pruža podršku za pravila IPv4 i IPv6 vatrozida i zone vatrozida koji su dostupni na poslužiteljima baziranim na RHEL 7. To je izravna zamjena iptablesi radi s netfilterkodom kernela .

U ovom članku ćemo ukratko pogledati upravljanje vatrozidom na CentOS 7 pomoću firewall-cmdnaredbe.

Provjera radi li FirewallD

Prvi korak je provjeriti je li FirewallD instaliran i pokrenut. To se može učiniti putem systemdsljedećeg:

$ systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
   Active: active (running) since Thu 2016-03-10 15:07:00 UTC; 1min 30s ago
   ...

Alternativno, možete provjeriti pomoću firewall-cmdalata:

$ firewall-cmd --state
running

Upravljanje zonama

FirewallD djeluje koristeći koncept zonesgdje je zona definirala razinu povjerenja koja se koristi za vezu. Možete podijeliti različita mrežna sučelja u različite zone kako biste primijenili određena pravila vatrozida po sučelju ili možete koristiti jednu zonu za sva sučelja.

Izvan kutije, sve se radi na zadanoj publiczoni, ali postoji nekoliko drugih unaprijed konfiguriranih zona koje se također mogu primijeniti.

Popis svih dostupnih zona

Možda ćete morati dobiti popis svih dostupnih zona, kojih je nekoliko izvan kutije. Opet, to se može učiniti pomoću firewall-cmd:

$ firewall-cmd --get-zones
block dmz drop external home internal public trusted work

Provjera zadane zone

Zadanu zonu koja je trenutno konfigurirana možete otkriti pomoću firewall-cmd:

$ firewall-cmd --get-default-zone
public

Ako želite promijeniti zadanu zonu (na primjer, u home), to se može učiniti pokretanjem:

$ firewall-cmd --set-default-zone=home
success

Ove informacije će se odraziti u glavnoj konfiguracijskoj datoteci, /etc/firewalld/firewalld.conf. Međutim, preporuča se da ovu datoteku ne mijenjate ručno i umjesto toga koristite firewall-cmd.

Provjera trenutno dodijeljenih zona

Popis zona kojima su vam dodijeljena sučelja možete dobiti pokretanjem:

$ firewall-cmd --get-active-zones
public
  interfaces: eth0

Također možete provjeriti zonu jednog sučelja ( eth0u ovom slučaju) pokretanjem:

$  firewall-cmd --get-zone-of-interface=eth0
public

Stvaranje zona

Ako zadane unaprijed konfigurirane zone ne odgovaraju baš vašim potrebama, najlakši način za stvaranje nove zone ( zone1) je opet putem firewall-cmd:

$ firewall-cmd --permanent --new-zone=zone1
success

Nakon kreiranja, morate ponovno učitati:

$ firewall-cmd --reload
success

Primjena zone na sučelje

Kako biste trajno dodijelili mrežno sučelje zoni, možete upotrijebiti, firewall-cmdali ne zaboravite uključiti --permanentzastavicu kako biste zadržali promjenu. Ako koristite NetworkManager, također biste trebali koristiti nmcliza postavljanje zone veze.

$ firewall-cmd --permanent --zone=internal --change-interface=eth1`
success

Dobivanje trajne konfiguracije zone

Kako biste provjerili trajnu konfiguraciju zone ( publicu ovom slučaju) uključujući dodijeljena sučelja, dopuštene usluge, postavke porta i više, pokrenite:

$ firewall-cmd --permanent --zone=public --list-all
public (default)
  interfaces:
  sources:
  services: dhcpv6-client ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

Upravljanje uslugama

Nakon što ste dodijelili i konfigurirali potrebne zone, možete početi dodavati usluge zonama. Usluge opisuju protokole i portove kojima se može pristupiti za zonu.

Popis postojećih usluga

Brojni uobičajeni servisi unaprijed su konfigurirani unutar firewalla. Ovo se može navesti:

$ firewall-cmd --get-services
RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imaps ipp ipp-client ipsec iscsi-target kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind rsyncd samba samba-client smtp ssh telnet tftp tftp-client transmission-client vdsm vnc-server wbem-https

Također možete dobiti popis usluga omogućenih za zadanu zonu:

$ firewall-cmd --list-services
dhcpv6-client ssh

Dodavanje usluge u zonu

Možete publictrajno omogućiti određenu uslugu za zonu ( ) koristeći --add-servicezastavu:

$ firewall-cmd --permanent --zone=public --add-service=http
success

Zatim ponovno učitajte trenutnu sesiju vatrozida:

$ firewall-cmd --reload
success

Zatim, za provjeru da je dodano:

$ firewall-cmd --zone=public --list-services
dhcpv6-client http ssh

Uklanjanje usluge iz zone

Možete publictrajno ukloniti određenu uslugu za zonu ( ) koristeći --remove-servicezastavu:

$ firewall-cmd --permanent --zone=public --remove-service=http
success

Zatim ponovno učitajte trenutnu sesiju vatrozida:

$ firewall-cmd --reload
success

Zatim, za provjeru da je dodano:

$ firewall-cmd --zone=public --list-services
dhcpv6-client ssh

Dodavanje/uklanjanje više usluga iz zone

Možete dodati ili ukloniti više usluga (na primjer, httpi https) iz zone bilo jednu po jednu ili sve odjednom umotavanjem željenih naziva usluga u vitičaste zagrade ( {, }):

$ firewall-cmd --permanent --zone=public --add-service=
success

$ firewall-cmd --permanent --zone=public --list-services
dhcpv6-client http https ssh

Stvaranje novih usluga

Ponekad ćete možda morati dodati nove prilagođene usluge - na primjer ako ste promijenili port za SSH demon. Usluge su definirane pomoću trivijalnih XML datoteka, a zadane datoteke se nalaze u /usr/lib/firewalld/services:

$  tree /usr/lib/firewalld/services
/usr/lib/firewalld/services
├── amanda-client.xml
├── bacula-client.xml
├── bacula.xml
├── dhcpv6-client.xml
├── dhcpv6.xml
├── dhcp.xml
├── dns.xml
├── freeipa-ldaps.xml
├── freeipa-ldap.xml
├── freeipa-replication.xml
├── ftp.xml
├── high-availability.xml
├── https.xml
├── http.xml
...

Najlakši način za stvaranje nove usluge je kopiranje jedne od ovih postojećih servisnih datoteka i izmjena. Carinske službe trebale bi se nalaziti u /etc/firewalld/services. Na primjer, da biste prilagodili SSH uslugu:

$ cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/ssh-custom.xml

Sadržaj ove kopirane datoteke trebao bi izgledati ovako:

$ cat /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

Da biste promijenili port, trebali biste promijeniti kratki naziv usluge i port. Također možete promijeniti opis ako želite, ali ovo su samo dodatni metapodaci koje može koristiti korisničko sučelje ili druga aplikacija. U ovom primjeru mijenjam port u 1234:

$ nano /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH-Custom</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="1234"/>
</service>

Nakon spremanja, morat ćete ponovno učitati vatrozid i tada možete primijeniti svoje pravilo na svoju zonu:

$ firewall-cmd --reload
success

$ firewall-cmd --permanent --zone=public --add-service=ssh-custom
success

Upravljanje lukom

Osim korištenja usluga, možete i ručno dopustiti portove po protokolu. Da biste dopustili TCP port 7777za publiczonu:

$ firewall-cmd --permanent --zone=public --add-port=7777/tcp
success

Također možete dodati raspon portova:

$ firewall-cmd --permanent --zone=public --add-port=7000-8000/tcp
success

Da biste uklonili (i time zabranili) TCP port 7777za publiczonu:

$ firewall-cmd --permanent --zone=public --remove-port=7777/tcp
success

Također možete navesti trenutno dopuštene portove za određenu zonu ( public) nakon ponovnog učitavanja trenutne sesije vatrozida:

$ firewall-cmd --zone=public --list-ports
7000-8000/tcp

Omogućavanje FirewallD

Nakon što ste konfigurirali vatrozid po svojoj želji, svakako ga omogućite putem systemd-a kako biste bili sigurni da se pokreće pri pokretanju:

$ systemctl enable firewalld

Zaključak

Postoji mnogo više postavki i opcija unutar FirewallD-a, kao što su prosljeđivanje portova, maskiranje i komunikacija s vatrozidom putem D-Bus-a. Nadamo se da vam je ovaj vodič pomogao da shvatite osnove i dao vam alate za početak postavljanja vatrozida s vašeg poslužitelja. Dodatna čitanja u nastavku pomoći će vam da maksimalno iskoristite svoj vatrozid.

• Korištenje Fail2ban s FirewallD - Fedora Wiki
• FirewallD - Fedora Wiki
• Uvod u FirewallD - RedHat 7 sigurnosni vodič