Använda FirewallD för att hantera din brandvägg på CentOS 7

FirewallD är en dynamiskt hanterad brandvägg som ger stöd för IPv4- och IPv6-brandväggsregler och brandväggszoner som är tillgänglig på RHEL 7-baserade servrar. Det är en direkt ersättning för iptablesoch fungerar med kärnans netfilterkod.

I den här artikeln kommer vi att ta en kort titt på hur du hanterar brandväggen på CentOS 7 med firewall-cmdkommandot.

Kontrollerar om FirewallD körs

Det första steget är att kontrollera om FirewallD är installerad och körs. Detta kan göras systemdgenom att köra följande:

$ systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
   Active: active (running) since Thu 2016-03-10 15:07:00 UTC; 1min 30s ago
   ...

Alternativt kan du kontrollera med hjälp av firewall-cmdverktyget:

$ firewall-cmd --state
running

Hantera zoner

FirewallD använder konceptet zonesdär en zon definierar nivån av förtroende som används för en anslutning. Du kan dela upp olika nätverksgränssnitt i olika zoner för att tillämpa specifika brandväggsregler per gränssnitt eller så kan du använda en zon för alla gränssnitt.

Ur lådan görs allt på standardzonen public, men det finns flera andra förkonfigurerade zoner som också kan tillämpas.

Listar alla tillgängliga zoner

Du kan behöva få en lista över alla tillgängliga zoner, av vilka det finns flera ur lådan. Återigen, detta kan göras med firewall-cmd:

$ firewall-cmd --get-zones
block dmz drop external home internal public trusted work

Kontrollerar standardzonen

Du kan upptäcka standardzonen som för närvarande är konfigurerad med firewall-cmd:

$ firewall-cmd --get-default-zone
public

Om du vill ändra standardzonen (till exempel till home), kan detta göras genom att köra:

$ firewall-cmd --set-default-zone=home
success

Denna information kommer att återspeglas i huvudkonfigurationsfilen, /etc/firewalld/firewalld.conf. Det rekommenderas dock att du inte ändrar den här filen manuellt och istället använder firewall-cmd.

Kontrollerar de för närvarande tilldelade zonerna

Du kan få en lista över de zoner som du har tilldelat gränssnitt genom att köra:

$ firewall-cmd --get-active-zones
public
  interfaces: eth0

Du kan också kontrollera zonen för ett enskilt gränssnitt ( eth0i det här fallet) genom att köra:

$  firewall-cmd --get-zone-of-interface=eth0
public

Skapar zoner

Om de förkonfigurerade standardzonerna inte riktigt passar dina behov är det enklaste sättet att skapa en ny zon ( zone1) igen via firewall-cmd:

$ firewall-cmd --permanent --new-zone=zone1
success

Efter skapandet måste du ladda om:

$ firewall-cmd --reload
success

Applicera en zon på ett gränssnitt

För att permanent tilldela ett nätverksgränssnitt till en zon kan du använda firewall-cmdmen kom ihåg att inkludera --permanentflaggan för att fortsätta ändringen. Om du använder NetworkManager, bör du också vara säker på att använda för nmcliatt ställa in anslutningszonen.

$ firewall-cmd --permanent --zone=internal --change-interface=eth1`
success

Få den permanenta konfigurationen av en zon

För att kontrollera den permanenta konfigurationen av en zon ( publici det här fallet) inklusive de tilldelade gränssnitten, tillåtna tjänster, portinställningar och mer, kör:

$ firewall-cmd --permanent --zone=public --list-all
public (default)
  interfaces:
  sources:
  services: dhcpv6-client ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

Hantera tjänster

När du har tilldelat och konfigurerat dina nödvändiga zoner kan du börja lägga till tjänster till zoner. Tjänster beskriver de protokoll och portar som kan nås för en zon.

Lista befintliga tjänster

Ett antal vanliga tjänster är förkonfigurerade inom brandväggen. Dessa kan listas:

$ firewall-cmd --get-services
RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imaps ipp ipp-client ipsec iscsi-target kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind rsyncd samba samba-client smtp ssh telnet tftp tftp-client transmission-client vdsm vnc-server wbem-https

Du kan också få en lista över de tjänster som är aktiverade för standardzonen:

$ firewall-cmd --list-services
dhcpv6-client ssh

Lägga till en tjänst i en zon

Du kan aktivera en given tjänst för en zon ( public) permanent med --add-serviceflaggan:

$ firewall-cmd --permanent --zone=public --add-service=http
success

Och ladda sedan om den aktuella brandväggssessionen:

$ firewall-cmd --reload
success

Sedan, för att verifiera att det lades till:

$ firewall-cmd --zone=public --list-services
dhcpv6-client http ssh

Ta bort en tjänst från en zon

Du kan ta bort en given tjänst för en zon ( public) permanent med --remove-serviceflaggan:

$ firewall-cmd --permanent --zone=public --remove-service=http
success

Och ladda sedan om den aktuella brandväggssessionen:

$ firewall-cmd --reload
success

Sedan, för att verifiera att det lades till:

$ firewall-cmd --zone=public --list-services
dhcpv6-client ssh

Lägga till/ta bort flera tjänster från en zon

Du kan lägga till eller ta bort flera tjänster (till exempel httpoch https) från en zon, antingen en åt gången eller alla på en gång genom att linda in de önskade tjänstnamnen i hängslen ( {, }):

$ firewall-cmd --permanent --zone=public --add-service=
success

$ firewall-cmd --permanent --zone=public --list-services
dhcpv6-client http https ssh

Skapar nya tjänster

Ibland kan du behöva lägga till nya anpassade tjänster - till exempel om du har ändrat porten för SSH-demonen. Tjänster definieras med triviala XML-filer, med standardfilerna som finns i /usr/lib/firewalld/services:

$  tree /usr/lib/firewalld/services
/usr/lib/firewalld/services
├── amanda-client.xml
├── bacula-client.xml
├── bacula.xml
├── dhcpv6-client.xml
├── dhcpv6.xml
├── dhcp.xml
├── dns.xml
├── freeipa-ldaps.xml
├── freeipa-ldap.xml
├── freeipa-replication.xml
├── ftp.xml
├── high-availability.xml
├── https.xml
├── http.xml
...

Det enklaste sättet att skapa en ny tjänst är att kopiera en av dessa befintliga tjänstfiler och ändra den. Anpassade tjänster bör finnas i /etc/firewalld/services. Till exempel, för att anpassa SSH-tjänsten:

$ cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/ssh-custom.xml

Innehållet i denna kopierade fil bör se ut så här:

$ cat /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

För att ändra porten bör du ändra det korta namnet för tjänsten och porten. Du kan också ändra beskrivningen om du vill, men detta är bara extra metadata som kan användas av ett användargränssnitt eller en annan applikation. I det här exemplet ändrar jag porten till 1234:

$ nano /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH-Custom</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="1234"/>
</service>

När du har sparat måste du ladda om brandväggen och sedan kan du tillämpa din regel på din zon:

$ firewall-cmd --reload
success

$ firewall-cmd --permanent --zone=public --add-service=ssh-custom
success

Hamnförvaltning

Förutom att använda tjänster kan du även tillåta portar manuellt efter protokoll. Så här tillåter du TCP-porten 7777för publiczonen:

$ firewall-cmd --permanent --zone=public --add-port=7777/tcp
success

Du kan också lägga till ett portintervall:

$ firewall-cmd --permanent --zone=public --add-port=7000-8000/tcp
success

För att ta bort (och därmed neka) TCP-port 7777för publiczonen:

$ firewall-cmd --permanent --zone=public --remove-port=7777/tcp
success

Du kan också lista de för närvarande tillåtna portarna för en given zon ( public) efter att ha laddat om den aktuella brandväggssessionen:

$ firewall-cmd --zone=public --list-ports
7000-8000/tcp

Aktiverar FirewallD

När du har konfigurerat brandväggen som du vill, bör du vara säker på att aktivera den via systemd för att säkerställa att den startar vid start:

$ systemctl enable firewalld

Slutsats

Det finns en hel del fler inställningar och alternativ inom FirewallD, som portvidarebefordran, maskering och kommunikation med brandväggen via D-Bus. Förhoppningsvis har den här guiden hjälpt dig att förstå grunderna och gett dig verktygen för att komma igång med brandvägg från din server. Lite ytterligare läsning nedan hjälper dig att få ut det mesta av din brandvägg.

• Använda Fail2ban med FirewallD - Fedora Wiki
• FirewallD - Fedora Wiki
• Introduktion till FirewallD - RedHat 7 Säkerhetsguide