Настройка firewalld в CentOS

Firewalld — утилита для управления встроенным в ядро Linux брандмауэром Netfilter. Несмотря на собственный синтаксис, имеет такой же принцип работы, как Iptables. Дополнительно про управление Netfilter при помощи последнего.

Установка и запуск

В некоторых системах CentOS может не оказаться firewalld. Для его установки вводим:

Для автоматического зауска вводим:

И для запуска службы:

Общие команды для управления firewalld

Посмотреть состояние:

Мягко перечитать правила (применить настройки):

Перечитать правила и сбросить текущие подключения:

* в официальной документации сказано, что данную команду стоит применять только в случаях проблем с firewalld.

Посмотреть созданные правила:

Остановить службу:

Запустить сервис:

Запретить автозапуск:

Разрешить автозапуск:

Сохранить текущие правила, сделав их постоянными (permanent):

Управление правилами

Рассмотрим разные варианты управления фаервольными правилами c помощью firewalld.

Синтаксис

Общий синтаксис для работы с правилами:

* порядок следования параметров не важен.

где:

• [опции] — дополнительные параметры для создаваемого правила, например --permanent — постоянное правило, то есть будет действовать после перезагрузки. Не обязательный.
• [зона] — по умолчанию, правила создаются для зоны public. Для работы с конкретной зоной ее необходимо указать, например, --zone=dmz. Не обязательный.
• <правило> — само правило. Обязательный.

Чтобы правила применялись, не забываем их перечитывать:

Добавление портов

Открыть порт 80:

* где ключ --permanent — добавить постоянное правило (будет действовать после перезагрузки).

Добавить правило для определенной зоны:

Добавить диапазон портов:

Добавить несколько правил одной командой:

Добавление сервиса командой

Использование служб, вместо портов, может повысить удобство управления правилами за счет объединения нескольких портов в одну службу.

Посмотреть список доступных служб:

Разрешить порт, например, для сервиса ntp:

Создать собственную службу:

* где name-service — произвольное имя создаваемой службы.

Добавить порт, например TCP 2200 к службе:

Задать описание для удобства:

Информацию о созданном сервисе можно получить командой:

Созданную службу можно использовать для создания правил командой:

Добавление сервиса из xml-файла

Данный способ добавления сервиса будет удобен для создания готовых шаблонов с правилами. Их можно использовать при поставке конфигурации или программного обеспечения.

Пример файла:

* в моем примере будет создан шаблон для сервиса с именем my-app, который откроет порт 8080/tcp.

Теперь можно добавить сам сервис. Для этого есть два способа.

а) Использовать опцию --new-service-from-file:

б) Перенести его в каталог /usr/lib/firewalld/services:

Сервис подгружен.

Теперь, чтобы с ним можно было работать, перезапустим firewalld:

Информацию о созданном сервисе можно получить командой:

Теперь созданную службу можно использовать для создания правил, например:

Rich-Rule

rich-rule позволяет создавать правила с условиями. Рассмотрим несколько примеров:

1. Разрешаем службу http с условием, что запросы будут с определенных IP-адресов (подсети 192.168.0):

2. Или для конкретного порта:

3. Чтобы заблокировать подсеть можно воспользоваться командой:

---

Список правил с условиями можно отобразить командой:

Удаление правил

Аналогично созданию, но вместо add вводим remove, например --remove-port (удалит порт) или --remove-service (службу).

Удалим правило для открытия 80-о порта:

Работа с правилами при выключенной службе firewalld

Иногда нужно заранее настроить правила, когда сервис firewalld не запущен. Стандартная команда firewall-cmd вернет ошибку:

Для работы с выключенным фаерволом есть утилита firewall-offline-cmd, которая работает также, как и firewall-cmd. Рассмотрим несколько примеров.

1. Посмотреть правила:

2. Добавление / удаление портов:

* обратите внимание, что добавлять --permanent не требуется, так как правило будет уже записываться в перманентную таблицу.

3. Работа с сервисами:

4. Любые другие правила.

Важно понять, что, практически, все, что может firewall-cmd может и firewall-offline-cmd.

Управление зонами

Все правила в firewalld могут быть разбиты по зонам. Для каждой свой набор правил и свои сетевые интерфейсы. Это нужно использовать, если мы захотим для разных сетевых адаптеров сделать разные по строгости правила.

Посмотреть список всех имеющихся зон:

Посмотреть список используемых зон:

Информация о конкретной зоне:

Создать правило для зоны public:

Добавить сетевой интерфейс в зону:

* сначала нужно удалить адаптер из текущей зоны. 

Задать действие по умолчанию для зоны:

Создать новую зону:

* чтобы система увидела новую зону custom_zone, команда reload обязательная.

Пример настройки NAT (шлюза)

Включить маскарадинг:

* без указания зон, будет включен для public и external.

Для примера берем два ethernet интерфейса — ens32 (внутренний) и ens33 (внешний). Для настройки nat последовательно вводим следующие 4 команды:

* правило включает маскарадинг на внешнем интерфейсе ens33. Где опция --direct требуется перед всеми пользовательскими правилами (--passthrough, --add-chain, --remove-chain, --query-chain, --get-chains, --add-rule, --remove-rule, --query-rule, --get-rules); nat — таблица, в которую стоит добавить правило; POSTROUTING 0 — цепочка в таблице nat; опция MASQUERADE указывает сетевому экрану менять внутренний IP-адрес на внешний.

* добавляет в таблицу filter (цепочку FORWARD) правило, позволяющее хождение трафика с ens32 на ens33.

* добавляет правило в таблицу filter (цепочку FORWARD), позволяющее хождение трафика с ens33 на ens32 для пакетов, открывающих новый сеанс, который связан с уже открытым другим сеансом (RELATED) и пакетов, которые уже являются частью существующего сеанса (ESTABLISHED).

* для того, чтобы сервер CentOS заработал в качестве шлюза, также необходимо настроить ядро. Подробнее в статье Настройка Интернет шлюза на CentOS 7.

Для просмотра созданных данным способом правил используем команду:

Проброс портов

Проброс настраивается со следующим синтаксисом:

Например:

* в данном примере мы будем слушать запросы на порту 25 и передодить их на узел 192.168.0.15 и порт 8025.

Запретить или разрешить трафик между интерфейсами

Предположим, у нас есть два внутренних сетевых интерфейса ens35 и ens36. Мы хотим контролировать трафик между ними.

Запретить

Применяется в случаях, когда на сервере включен FORWARD, но необходимо блокировать трафик между определенными сегменами сети.

Вводим следующие команды:

Разрешить

Применяется в случаях, когда интерфейсы находятся в зонах, где по умолчанию, трафик блокируется.

Для разрешения команды, практически, аналогичные:

Разрешить трафик в одном направлении

В предыдущих примерах мы разрешали трафик в обоих направлениях. Если необходимо сделать так, чтобы только сеть ens35 видела сеть ens36, вводим одну команду:

Возможные проблемы при работе с firewalld

1. Ошибка command not found (команда не найдена).

Возможные причины: не установлен пакет или не запущена служба.

Выполняем установку пакета firewalld:

Запускаем службу:

2. Не применяются правила.

Причина: не введена команда перезапуска правил.

Перечитываем правила:

Если это не помогло, делаем перезапуск со сбросом подключений:

В некоторых случаях, необходимо перезапустить сетевые службы:

В исключительных случаях, перезагружаем компьютер:

3. The interface is under control of NetworkManager and already bound to the default zone.

Ошибка появляется при попытке удалить интерфейс из зоны, настройками которого управляет NetworkManager.

Для решения открываем конфигурационный файл для настройки сетевого интерфейса, например:

И дописываем следующее:

* в данном примере сетевой интерфейс ens34 будет добавлен в зону external.

Перезагружаем сетевую службу: