Verwenden von FirewallD zum Verwalten Ihrer Firewall unter CentOS 7

• Dienste verwalten
• Hafenverwaltung
• FirewallD aktivieren
• Fazit

FirewallD ist eine dynamisch verwaltete Firewall, die IPv4- und IPv6-Firewallregeln und Firewallzonen unterstützt, die auf RHEL 7-basierten Servern verfügbar sind. Es ist ein direkter Ersatz für iptablesden Kernel- netfilterCode und funktioniert mit diesem .

In diesem Artikel wird kurz auf die Verwaltung der Firewall unter CentOS 7 mit dem firewall-cmdBefehl eingegangen .

Überprüfen, ob FirewallD ausgeführt wird

Der erste Schritt besteht darin, zu überprüfen, ob FirewallD installiert ist und ausgeführt wird. Dies kann über systemdFolgendes erfolgen:

$ systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
   Active: active (running) since Thu 2016-03-10 15:07:00 UTC; 1min 30s ago
   ...

Alternativ können Sie dies mit dem firewall-cmdTool überprüfen :

$ firewall-cmd --state
running

Zonen verwalten

FirewallD arbeitet nach dem Konzept, bei zonesdem eine Zone die für eine Verbindung verwendete Vertrauensstufe definiert. Sie können verschiedene Netzwerkschnittstellen in verschiedene Zonen aufteilen, um bestimmte Firewallregeln pro Schnittstelle anzuwenden, oder Sie können eine Zone für alle Schnittstellen verwenden.

Standardmäßig wird alles in der Standardzone ausgeführt public, es gibt jedoch auch mehrere andere vorkonfigurierte Zonen, die angewendet werden können.

Auflistung aller verfügbaren Zonen

Möglicherweise müssen Sie eine Liste aller verfügbaren Zonen abrufen, von denen mehrere sofort einsatzbereit sind. Dies kann wiederum folgendermaßen erfolgen firewall-cmd:

$ firewall-cmd --get-zones
block dmz drop external home internal public trusted work

Überprüfen der Standardzone

Sie können die derzeit konfigurierte Standardzone ermitteln, indem Sie Folgendes verwenden firewall-cmd:

$ firewall-cmd --get-default-zone
public

Wenn Sie die Standardzone ändern möchten (z. B. in home), können Sie Folgendes ausführen:

$ firewall-cmd --set-default-zone=home
success

Diese Informationen werden in der Hauptkonfigurationsdatei wiedergegeben /etc/firewalld/firewalld.conf. Es wird jedoch empfohlen, diese Datei nicht manuell zu ändern und stattdessen zu verwenden firewall-cmd.

Überprüfen der aktuell zugewiesenen Zonen

Sie können eine Liste der Zonen abrufen, denen Sie Schnittstellen zugewiesen haben, indem Sie Folgendes ausführen:

$ firewall-cmd --get-active-zones
public
  interfaces: eth0

Sie können die Zone einer einzelnen Schnittstelle ( eth0in diesem Fall) auch überprüfen, indem Sie Folgendes ausführen:

$  firewall-cmd --get-zone-of-interface=eth0
public

Zonen erstellen

Wenn die vorkonfigurierten Standardzonen nicht ganz Ihren Anforderungen entsprechen, können Sie eine neue Zone ( zone1) am einfachsten über Folgendes erstellen firewall-cmd:

$ firewall-cmd --permanent --new-zone=zone1
success

Nach der Erstellung müssen Sie Folgendes neu laden:

$ firewall-cmd --reload
success

Anwenden einer Zone auf eine Schnittstelle

Um einer Zone dauerhaft eine Netzwerkschnittstelle zuzuweisen, können Sie firewall-cmddas --permanentFlag verwenden, um die Änderung beizubehalten. Wenn Sie verwenden NetworkManager, sollten Sie auch sicherstellen, dass Sie nmclidie Verbindungszone festlegen.

$ firewall-cmd --permanent --zone=internal --change-interface=eth1`
success

Abrufen der permanenten Konfiguration einer Zone

publicFühren Sie Folgendes aus, um die permanente Konfiguration einer Zone ( in diesem Fall) einschließlich der zugewiesenen Schnittstellen, zulässigen Dienste, Porteinstellungen und mehr zu überprüfen :

$ firewall-cmd --permanent --zone=public --list-all
public (default)
  interfaces:
  sources:
  services: dhcpv6-client ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

Dienste verwalten

Sobald Sie Ihre erforderlichen Zonen zugewiesen und konfiguriert haben, können Sie Dienste zu Zonen hinzufügen. Dienste beschreiben die Protokolle und Ports, auf die für eine Zone zugegriffen werden kann.

Auflistung vorhandener Dienste

Eine Reihe allgemeiner Dienste ist in firewalld vorkonfiguriert. Diese können aufgelistet werden:

$ firewall-cmd --get-services
RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imaps ipp ipp-client ipsec iscsi-target kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind rsyncd samba samba-client smtp ssh telnet tftp tftp-client transmission-client vdsm vnc-server wbem-https

Sie können auch eine Liste der Dienste abrufen, die für die Standardzone aktiviert sind:

$ firewall-cmd --list-services
dhcpv6-client ssh

Hinzufügen eines Dienstes zu einer Zone

Sie können einen bestimmten Dienst für eine Zone ( public) dauerhaft aktivieren, indem Sie das --add-serviceFlag verwenden:

$ firewall-cmd --permanent --zone=public --add-service=http
success

Laden Sie anschließend die aktuelle Firewall-Sitzung neu:

$ firewall-cmd --reload
success

Um zu überprüfen, ob es hinzugefügt wurde:

$ firewall-cmd --zone=public --list-services
dhcpv6-client http ssh

Entfernen eines Dienstes aus einer Zone

Sie können einen bestimmten Dienst für eine Zone ( public) dauerhaft mit dem --remove-serviceFlag entfernen :

$ firewall-cmd --permanent --zone=public --remove-service=http
success

Laden Sie anschließend die aktuelle Firewall-Sitzung neu:

$ firewall-cmd --reload
success

Um zu überprüfen, ob es hinzugefügt wurde:

$ firewall-cmd --zone=public --list-services
dhcpv6-client ssh

Hinzufügen / Entfernen mehrerer Dienste zu einer Zone

Sie können mehrere Dienste (z. B. httpund https) entweder einzeln oder alle gleichzeitig zu einer Zone hinzufügen oder daraus entfernen, indem Sie die gewünschten Dienstnamen in geschweifte Klammern ( {, }) setzen:

$ firewall-cmd --permanent --zone=public --add-service=
success

$ firewall-cmd --permanent --zone=public --list-services
dhcpv6-client http https ssh

Neue Dienste erstellen

Manchmal müssen Sie möglicherweise neue benutzerdefinierte Dienste hinzufügen, z. B. wenn Sie den Port für den SSH-Dämon geändert haben. Dienste werden mithilfe trivialer XML-Dateien definiert. Die Standarddateien finden Sie in /usr/lib/firewalld/services:

$  tree /usr/lib/firewalld/services
/usr/lib/firewalld/services
├── amanda-client.xml
├── bacula-client.xml
├── bacula.xml
├── dhcpv6-client.xml
├── dhcpv6.xml
├── dhcp.xml
├── dns.xml
├── freeipa-ldaps.xml
├── freeipa-ldap.xml
├── freeipa-replication.xml
├── ftp.xml
├── high-availability.xml
├── https.xml
├── http.xml
...

Der einfachste Weg, einen neuen Dienst zu erstellen, besteht darin, eine dieser vorhandenen Dienstdateien zu kopieren und zu ändern. Benutzerdefinierte Dienste sollten sich in befinden /etc/firewalld/services. So passen Sie beispielsweise den SSH-Dienst an:

$ cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/ssh-custom.xml

Der Inhalt dieser kopierten Datei sollte folgendermaßen aussehen:

$ cat /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

Um den Port zu ändern, sollten Sie den Kurznamen für den Dienst und den Port ändern. Sie können die Beschreibung auch ändern, wenn Sie dies wünschen. Dies sind jedoch nur zusätzliche Metadaten, die von einer Benutzeroberfläche oder einer anderen Anwendung verwendet werden können. In diesem Beispiel ändere ich den Port auf 1234:

$ nano /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH-Custom</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="1234"/>
</service>

Nach dem Speichern müssen Sie die Firewall neu laden und können dann Ihre Regel auf Ihre Zone anwenden:

$ firewall-cmd --reload
success

$ firewall-cmd --permanent --zone=public --add-service=ssh-custom
success

Hafenverwaltung

Zusätzlich zur Verwendung von Diensten können Sie Ports auch manuell nach Protokoll zulassen. So lassen Sie den TCP-Port 7777für die publicZone zu:

$ firewall-cmd --permanent --zone=public --add-port=7777/tcp
success

Sie können auch einen Portbereich hinzufügen:

$ firewall-cmd --permanent --zone=public --add-port=7000-8000/tcp
success

So entfernen Sie den TCP-Port 7777für die publicZone (und verweigern ihn damit) :

$ firewall-cmd --permanent --zone=public --remove-port=7777/tcp
success

Sie können auch die derzeit zulässigen Ports für eine bestimmte Zone ( public) auflisten, nachdem Sie die aktuelle Firewall-Sitzung neu geladen haben:

$ firewall-cmd --zone=public --list-ports
7000-8000/tcp

FirewallD aktivieren

Sobald Sie die Firewall nach Ihren Wünschen konfiguriert haben, sollten Sie sie über systemd aktivieren, um sicherzustellen, dass sie beim Start gestartet wird:

$ systemctl enable firewalld

Fazit

In FirewallD gibt es viel mehr Einstellungen und Optionen, wie z. B. Portweiterleitung, Maskierung und Kommunikation mit der Firewall über D-Bus. Hoffentlich hat Ihnen dieses Handbuch dabei geholfen, die Grundlagen zu verstehen, und Ihnen die Tools gegeben, mit denen Sie mit dem Firewalling von Ihrem Server beginnen können. Einige zusätzliche Informationen unten helfen Ihnen dabei, Ihre Firewall optimal zu nutzen.

• Verwenden von Fail2ban mit FirewallD - Fedora Wiki
• FirewallD - Fedora Wiki
• Einführung in FirewallD - RedHat 7-Sicherheitshandbuch