Uso de FirewallD para administrar su firewall en CentOS 7

• Servicios de gestion
• Gestión portuaria
• Habilitar FirewallD
• Conclusión

FirewallD es un firewall administrado dinámicamente que brinda soporte para las reglas y zonas de firewall de IPv4 e IPv6 que está disponible en los servidores basados ​​en RHEL 7. Es un reemplazo directo iptablesy funciona con el código del núcleo netfilter.

En este artículo, veremos brevemente cómo administrar el firewall en CentOS 7 usando el firewall-cmdcomando.

Comprobando si FirewallD se está ejecutando

El primer paso es verificar si FirewallD está instalado y ejecutándose. Esto se puede hacer systemdejecutando lo siguiente:

$ systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
   Active: active (running) since Thu 2016-03-10 15:07:00 UTC; 1min 30s ago
   ...

Alternativamente, puede verificar usando la firewall-cmdherramienta:

$ firewall-cmd --state
running

Administrar zonas

FirewallD funciona utilizando el concepto de zonesdónde una zona definió el nivel de confianza utilizado para una conexión. Puede dividir diferentes interfaces de red en diferentes zonas para aplicar reglas de firewall específicas por interfaz o puede usar una zona para todas las interfaces.

Fuera de la caja, todo se hace en la publiczona predeterminada , pero hay varias otras zonas preconfiguradas que también se pueden aplicar.

Listado de todas las zonas disponibles

Es posible que deba obtener una lista de todas las zonas disponibles, de las cuales hay varias listas para usar. Nuevamente, esto se puede hacer usando firewall-cmd:

$ firewall-cmd --get-zones
block dmz drop external home internal public trusted work

Comprobación de la zona predeterminada

Puede descubrir la zona predeterminada que está configurada actualmente usando firewall-cmd:

$ firewall-cmd --get-default-zone
public

Si desea cambiar la zona predeterminada (por ejemplo, a home), esto puede hacerse ejecutando:

$ firewall-cmd --set-default-zone=home
success

Esta información se reflejará en el fichero de configuración principal, /etc/firewalld/firewalld.conf. Sin embargo, se recomienda que no modifique manualmente este archivo y en su lugar lo use firewall-cmd.

Comprobación de las zonas asignadas actualmente

Puede obtener una lista de las zonas a las que tiene interfaces asignadas ejecutando:

$ firewall-cmd --get-active-zones
public
  interfaces: eth0

También puede verificar la zona de una única interfaz ( eth0en este caso) ejecutando:

$  firewall-cmd --get-zone-of-interface=eth0
public

Creando zonas

Si las zonas preconfiguradas predeterminadas no satisfacen sus necesidades, la forma más fácil de crear una nueva zona ( zone1) es nuevamente a través de firewall-cmd:

$ firewall-cmd --permanent --new-zone=zone1
success

Después de la creación, debe volver a cargar:

$ firewall-cmd --reload
success

Aplicar una zona a una interfaz

Para asignar permanentemente una interfaz de red a una zona, puede usar, firewall-cmdaunque recuerde incluir la --permanentbandera para persistir el cambio. Si lo usa NetworkManager, también debe asegurarse de usarlo nmclipara configurar la zona de conexión.

$ firewall-cmd --permanent --zone=internal --change-interface=eth1`
success

Obtener la configuración permanente de una zona

Para verificar la configuración permanente de una zona ( publicen este caso) incluyendo las interfaces asignadas, los servicios permitidos, la configuración del puerto y más, ejecute:

$ firewall-cmd --permanent --zone=public --list-all
public (default)
  interfaces:
  sources:
  services: dhcpv6-client ssh
  ports:
  masquerade: no
  forward-ports:
  icmp-blocks:
  rich rules:

Servicios de gestion

Una vez que haya asignado y configurado sus zonas requeridas, puede comenzar a agregar servicios a las zonas. Los servicios describen los protocolos y puertos a los que se puede acceder para una zona.

Listado de servicios existentes

Varios servicios comunes están preconfigurados dentro de firewalld. Estos se pueden enumerar:

$ firewall-cmd --get-services
RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns freeipa-ldap freeipa-ldaps freeipa-replication ftp high-availability http https imaps ipp ipp-client ipsec iscsi-target kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind rsyncd samba samba-client smtp ssh telnet tftp tftp-client transmission-client vdsm vnc-server wbem-https

También puede obtener una lista de los servicios habilitados para la zona predeterminada:

$ firewall-cmd --list-services
dhcpv6-client ssh

Agregar un servicio a una zona

Puede habilitar un servicio dado para una zona ( public) permanentemente usando la --add-servicebandera:

$ firewall-cmd --permanent --zone=public --add-service=http
success

Y luego vuelva a cargar la sesión de firewall actual:

$ firewall-cmd --reload
success

Luego, para verificar que se agregó:

$ firewall-cmd --zone=public --list-services
dhcpv6-client http ssh

Eliminar un servicio de una zona

Puede eliminar un servicio determinado para una zona ( public) permanentemente usando la --remove-servicebandera:

$ firewall-cmd --permanent --zone=public --remove-service=http
success

Y luego vuelva a cargar la sesión de firewall actual:

$ firewall-cmd --reload
success

Luego, para verificar que se agregó:

$ firewall-cmd --zone=public --list-services
dhcpv6-client ssh

Agregar / eliminar múltiples servicios de una zona

Puede agregar o eliminar múltiples servicios (por ejemplo, httpy https) de una zona, ya sea uno a la vez, o todos a la vez envolviendo los nombres de servicios deseados entre llaves ( {, }):

$ firewall-cmd --permanent --zone=public --add-service=
success

$ firewall-cmd --permanent --zone=public --list-services
dhcpv6-client http https ssh

Creando nuevos servicios

A veces puede que necesite agregar nuevos servicios personalizados, por ejemplo, si ha cambiado el puerto para el demonio SSH. Los servicios se definen utilizando archivos XML triviales, y los archivos predeterminados se encuentran en /usr/lib/firewalld/services:

$  tree /usr/lib/firewalld/services
/usr/lib/firewalld/services
├── amanda-client.xml
├── bacula-client.xml
├── bacula.xml
├── dhcpv6-client.xml
├── dhcpv6.xml
├── dhcp.xml
├── dns.xml
├── freeipa-ldaps.xml
├── freeipa-ldap.xml
├── freeipa-replication.xml
├── ftp.xml
├── high-availability.xml
├── https.xml
├── http.xml
...

La forma más fácil de crear un nuevo servicio es copiar uno de estos archivos de servicio existentes y modificarlo. Los servicios personalizados deben residir en /etc/firewalld/services. Por ejemplo, para personalizar el servicio SSH:

$ cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/ssh-custom.xml

El contenido de este archivo copiado debería verse así:

$ cat /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

Para cambiar el puerto, debe cambiar el nombre corto del servicio y el puerto. También puede cambiar la descripción si lo desea, pero estos son solo metadatos adicionales que podrían ser utilizados por una interfaz de usuario u otra aplicación. En este ejemplo, estoy cambiando el puerto a 1234:

$ nano /etc/firewalld/services/ssh-custom.xml
<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH-Custom</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="1234"/>
</service>

Una vez guardado, deberá volver a cargar el firewall y luego puede aplicar su regla a su zona:

$ firewall-cmd --reload
success

$ firewall-cmd --permanent --zone=public --add-service=ssh-custom
success

Gestión portuaria

Además de usar los servicios, también puede permitir puertos manualmente por protocolo. Para permitir el puerto TCP 7777para la publiczona:

$ firewall-cmd --permanent --zone=public --add-port=7777/tcp
success

También puede agregar un rango de puertos:

$ firewall-cmd --permanent --zone=public --add-port=7000-8000/tcp
success

Para eliminar (y por lo tanto denegar) el puerto TCP 7777para la publiczona:

$ firewall-cmd --permanent --zone=public --remove-port=7777/tcp
success

También puede enumerar los puertos permitidos actualmente para una zona determinada ( public) después de volver a cargar la sesión de firewall actual:

$ firewall-cmd --zone=public --list-ports
7000-8000/tcp

Habilitar FirewallD

Una vez que haya configurado el firewall a su gusto, debe asegurarse de habilitarlo a través de systemd para asegurarse de que comience en el inicio:

$ systemctl enable firewalld

Conclusión

Hay muchas más configuraciones y opciones dentro de FirewallD, como el reenvío de puertos, el enmascaramiento y la comunicación con el firewall a través de D-Bus. Sin embargo, es de esperar que esta guía lo haya ayudado a comprender los conceptos básicos y le haya brindado las herramientas para comenzar con el firewall de su servidor. Algunas lecturas adicionales a continuación lo ayudarán a aprovechar al máximo su firewall.

• Usando Fail2ban con FirewallD - Fedora Wiki
• FirewallD - Fedora Wiki
• Introducción a FirewallD - Guía de seguridad de RedHat 7