Konfigurer firewall i centos 7

Firewall installeret i operativsystemet bruges til at forhindre uautoriseret trafik mellem computernetværk. Manuel eller automatisk opretter særlige regler for firewallen, som er ansvarlig for adgangskontrol. I OS, udviklet på Linux Kernel, Centos 7 er der en indbygget firewall, og det styres af firewall. Standard firewalld er involveret, og vi vil gerne tale om det i dag.

Tilpas firewall i centos 7

Som nævnt ovenfor er standard firewall i centos 7 tildelt en firewalld-værktøj. Derfor vil firewallindstillingen blive overvejet på eksemplet på dette værktøj. Du kan indstille filtreringsreglerne med de samme Iptables, men det udføres lidt anderledes. Vi anbefaler at fortælle dig selv med konfigurationen af ​​det nævnte værktøj ved at klikke på følgende link, og vi vil starte demontering af firewalld.

Hvis du engang vil være midlertidigt eller permanent deaktivere firewallen, anbefaler vi at bruge de instruktioner, der præsenteres i den anden artikel med følgende link.

Læs mere: Deaktiver firewall i centos 7

Se standard regler og overkommelige zoner

Selv regelmæssig firewall har sine egne bestemte regler og tilgængelige zoner. Før jeg starter politikerredigering, anbefaler vi dig at gøre dig bekendt med den nuværende konfiguration. Dette gøres ved hjælp af enkle kommandoer:

1. Standardzonen bestemmer Firewall-Cmd -Get-Default-Zone-kommandoen.



2. Efter sin aktivering, vil du se en ny streng, hvor den ønskede parameter vil blive vist. For eksempel overvejes den "offentlige" zone i screenshot nedenfor.



3. Imidlertid kan flere zoner være aktive straks, desuden er de bundet til en separat grænseflade. Find ud af denne information via firewall-cmd -get-active-zoner.



4. Firewall-Cmd-List-All-kommandoen viser reglerne for standardzonen. Vær opmærksom på skærmbilledet nedenfor. Du ser, at den aktive zone "Offentlig" er tildelt "Standard" -reglen - Standardfunktionen, ENP0S3-grænsefladen og to tjenester tilføjet.



5. Hvis du har brug for at lære alle tilgængelige firewallzoner, skal du indtaste firewall-cmd-zoner.



6. Parametrene i den specifikke zone defineres via Firewall-Cmd --Zone = Name --List-ALL, hvor navnet er navnet på zonen.

Efter bestemmelse af de nødvendige parametre, kan du flytte til deres forandring og tilføjelse. Lad os analysere flere af de mest populære konfigurationer i detaljer.

Opsætning grænseflade zoner

Som du ved fra ovenstående oplysninger, er din standard zone defineret for hvert interface. Det vil være i det, indtil indstillingerne ændrer brugeren eller programmatisk. Det er muligt manuelt at overføre grænsefladen til zonen per session, og den udføres ved at aktivere Sudo Firewall-CMD --zone = HOME kommando --change-grænseflade = eth0. Resultatet "Succes" antyder, at overførslen var en succes. Husk på, at disse indstillinger er nulstillet umiddelbart efter genstart firewallen.

Med en sådan ændring i parametrene, skal det erindres, at driften af ​​tjenesterne kan nulstilles. Nogle af dem støtter ikke fungerer i bestemte zoner, lad os sige, SSH selvom tilgængelige i "Home", men i bruger eller særlig service vil arbejde ud. Sørg for, at grænsefladen med succes var bundet til den nye filial, ved at indtaste Firewall-CMD --get-Aktiv-zoner.

Hvis du ønsker at nulstille tidligere foretagne indstillinger, skal du blot køre Genstart af Firewall: Sudo systemctl Genstart Firewalld.Service.

Nogle gange er det ikke altid praktisk at ændre grænsefladen zone i bare én session. I dette tilfælde skal du redigere konfigurationsfilen, så alle indstillinger er emaljeret på permanent basis. For at gøre dette, vi råde dig til at bruge Nano tekst editor, som er installeret fra den officielle opbevaring af Sudo Yum Installer Nano. Næste forbliver sådanne handlinger:

1. Åbn konfigurationsfilen via editoren ved at indtaste Sudo Nano / etc / sysconfig / network-scripts / ifcfg-eth0, hvor ETH0 er navnet på den ønskede grænseflade.



2. Bekræft din konto godkendelse til at udføre yderligere handlinger.



3. Layout af "Zone" parameter og skifter værdi til den ønskede, for eksempel, offentlig eller hjem.



4. Hold Ctrl + O tasterne for at gemme ændringerne.



5. Du må ikke ændre filnavnet, men blot klikke på ENTER.



6. Afslut teksteditor gennem Ctrl + X.

Nu grænsefladen zone vil være den, at du har angivet det, indtil næste redigering af konfigurationsfilen. For opdaterede parametre, køre Sudo systemctl Genstart Network.Service og Sudo systemctl Genstart Firewalld.Service.

Indstilling af standard-zonen

Ovenfor har vi allerede vist et hold, der giver dig mulighed for at lære standardzonen. Det kan også ændres ved at indstille parameter til dit valg. For at gøre dette, i konsollen, er det nok til at registrere sudo firewall-cmd --set-default-zone = navn, hvor Name er navnet på den ønskede zone.

Succesen af ​​kommando vil blive dokumenteret ved indskriften "succes" i en separat linje. Efter dette, vil alle nuværende grænseflader blive født til den angivne zone, hvis den anden ikke er angivet i konfigurationsfiler.

Oprettelse regler for programmer og værktøjer

I begyndelsen af ​​artiklen, talte vi om virkningen af ​​hver zone. Definition tjenester, hjælpeprogrammer og programmer i disse filialer vil gøre det muligt at anvende individuelle parametre for hver af dem for hver bruger anmodninger. Til at begynde med, vi råde dig til at gøre dig bekendt med den fulde liste over tjenester tilgængelige i øjeblikket: Firewall-CMD --get-tjenester.

Resultatet vil blive vist direkte i konsollen. Hver server er delt af et mellemrum, og du kan nemt finde det værktøj, du er interesseret i. Hvis der mangler den nødvendige service, skal det desuden installeret. På reglerne installation, læse i den officielle software dokumentation.

Ovenstående kommando viser kun navnene på tjenesterne. Detaljerede oplysninger for hver af dem er opnået gennem den enkelte fil på stien / usr / lib / FireWalld / Services. Sådanne dokumenter har et XML-format, stien, for eksempel til SSH ligner dette: /usr/lib/firewalld/services/ssh.xml, og dokumentet har følgende indhold:

Ssh.

Secure Shell (SSH) er en protokol til at logge ind og udførelse af kommandoer på eksterne maskiner. IT giver sikker krypteret kommunikation. Hvis du har planer om Adgang maskinen Remotenet via SSH over en med firewall interface, aktivere dette valg. Du skal bruge OpenSSH-server-pakke installeret for denne mulighed for at være nyttig.

Service support aktiveres i en specifik zone manuelt. I Terminal, skal du indstille Sudo Firewall-CMD --zone = Public --DD-tjeneste = HTTP kommando, hvor --zone = Public er en aktivering zone, og --DD service = HTTP - tjeneste navn. Bemærk, at en sådan ændring kun vil være gyldige inden for en session.

Permanent tilføjelse foregår via sudo Firewall-CMD --zone = Public --permanent --DD-tjeneste = HTTP, og resultatet "Succes" angiver den vellykkede afslutning af operationen.

Du kan se en komplet liste over permanente regler for en specifik zone ved at vise en liste i en særskilt linje i konsollen: Sudo Firewall-Cmd --zone = Public --permanent --list-tjenester.

Afgørelse problem med manglende adgang til tjenesten

Standard firewall regler er angivet med de mest populære og sikre tjenester som tilladt, men nogle standard eller tredjeparts applikationer det blokerer. I dette tilfælde skal brugeren manuelt ændre indstillingerne for at løse problemet med adgang. Du kan gøre dette i to forskellige metoder.

Portes Port.

Som du ved, bruger alle netværkstjenester en bestemt port. Det opdages let af en firewall, og blokke kan udføres. For at undgå sådanne handlinger fra firewallen skal du åbne den ønskede port i Sudo Firewall-Cmd --Zone = Offentlig - Portd-Port = 0000 / TCP, hvor --Zone = Offentlig er et havneområde, - Port = 0000 / TCP - portnummer og protokol. Firewall-Cmd-List-Ports-indstillingen viser en liste over åbne porte.

Hvis du har brug for at åbne porte, der er inkluderet i området, skal du bruge SUDO Firewall-CMD String --Zone = Offentlig --DD-PORT = 0000-9999 / UDP, hvor --ad-port = 0000-9999 / UDP - Port Range og deres protokol.

Ovennævnte kommandoer giver kun dig mulighed for at teste brugen af ​​lignende parametre. Hvis det har bestået succesfuldt, skal du tilføje de samme porte til konstante indstillinger, og dette gøres ved at indtaste sudo firewall-cmd --Zone = Offentlig - Permanent --Add-port = 0000 / TCP eller Sudo Firewall-Cmd - Zone = Public - PernmentManent --add-port = 0000-9999 / UDP. Listen over åbne permanente havne ses som følger: sudo firewall-cmd --Zone = Offentlige - Permanent --List-porte.

Definition af service.

Som du kan se, giver tilføjelsen af ​​porte ikke nogen problemer, men proceduren er kompliceret, når applikationer bruger en stor mængde. For at spore alle brugte porte bliver vanskelige, i betragtning af hvilken servicebestemmelsen vil være mere korrekt mulighed:

1. Kopier konfigurationsfilen ved at skrive sudo cp /usr/lib/firewalld/services/service.xml /etc/firewalld/services/example.xml, hvor Service.xml er navnet på servicefilen, og example.xml er Navn på sine kopier.



2. Åbn en kopi for at ændre via en tekst editor, for eksempel sudo nano /etc/firewalld/services/example.xml.



3. Vi har for eksempel oprettet en kopi af HTTP-tjenesten. I dokumentet ser du grundlæggende forskellige metadata, for eksempel et kort navn og beskrivelse. Det påvirker serveren til kun at fungere ændringen af ​​portnummeret og protokollen. Over strengen "" skal tilføjes for at åbne porten. TCP - Brugt protokol, et 0000-portnummer.



4. Gem alle ændringer (CTRL + O), Luk filen (CTRL + X), og genstart firewallen for at anvende parametrene via sudo firewall-cmd -Reload. Derefter vises tjenesten på listen over tilgængelige, som kan ses via firewall-cmd -get-services.

Du behøver kun at vælge den mest hensigtsmæssige løsning til tjenesten problem med adgang til tjenesten og udføre instruktionerne. Som du kan se, er alle handlinger udføres ganske let, og der bør ikke være nogen problemer.

Oprettelse af brugerdefinerede zoner

Du ved allerede, at der i oprindeligt er skabt en lang række forskellige zoner med definerede regler i Firewalld. Men opstår situationer, hvor systemadministratoren behov for at oprette en bruger zone, såsom "PublicWeb" for den installerede webserver eller "PrivatedNS" - for DNS-serveren. På disse to eksempler, vil vi analysere tilføjelse af grenene:

1. Opret to nye permanente zoner ved Sudo Firewall-Cmd --permanent --New-Zone = PublicWeb og Sudo Firewall-CMD --Permanent --New-Zone = PrivatedNS.



2. De vil være tilgængelige efter genstart af Sudo Firewall-CMD --reLoad værktøj. For at vise permanente zoner, indtaste Sudo Firewall-Cmd --permanent --get-zoner.



3. Tildel dem de nødvendige tjenester, såsom "SSH", "HTTP" og "HTTPS". Disse er udført af Sudo Firewall-Cmd --zone = PublicWeb --add-service = SSH, sudo firewall-cmd --zone = PublicWeb --Do-service = PublicWeb --Do Firewall-Cmd - PublicWeb - PublicWeb - Tilføj- service = HTTPS, hvor --zone = PublicWeb er navnet på den zone for at tilføje. Du kan se aktiviteten af ​​tjenester indgivne Firewall-Cmd --zone = PublicWeb --list-alle.

Fra denne artikel, du har lært, hvordan du opretter brugerdefinerede zoner og tilføje tjenester til dem. Vi har allerede fortalt dem som standard og tildeling grænseflader ovenfor, kan du kun angive de korrekte navne. Glem ikke at genstarte firewallen efter at enhver permanent ændring.

Som du kan se, FireWalld firewall er en temmelig volumetrisk værktøj, der giver dig mulighed for at få mest fleksible konfiguration af firewallen. Det er fortsat kun at sørge for, at forsyningsselskaberne lanceringer med systemet og de angivne regler straks begynde deres arbejde. Gør det med Sudo systemctl Aktiver Firewalld kommando.