Agordu Firewall en Centos 7

Firewall instalita en la mastruma sistemo estas uzata por malhelpi neaŭtorizitan trafikon inter komputilaj retoj. Manlibro aŭ aŭtomate kreas specialajn regulojn por la fajroŝirmilo, kiu respondecas pri alir-kontrolo. En OS, evoluigita sur la Linuksa kerno, Centos 7 estas enmetita fajroŝirmilo, kaj ĝi estas kontrolita de fajroŝirmilo. La defaŭlta firewalld estas implikita, kaj ni ŝatus paroli pri ĝi hodiaŭ.

Agordu Firewall en Centos 7

Kiel menciite supre, la norma fajroŝirmilo en CentOS 7 estas asignita Firewalld-ilo. Tial la firewall-fikso estos konsiderata pri la ekzemplo de ĉi tiu ilo. Vi povas agordi la filtradajn regulojn kun la samaj iptables, sed ĝi estas iomete malsama. Ni rekomendas familiara kun la agordo de la menciita ilo alklakante la sekvan ligilon, kaj ni komencos la desensamblaje de FireWalld.

Se vi iam estos provizore aŭ konstante malebligos la fajroŝirmilon, ni konsilas vin uzi la instrukciojn prezentitajn en la alia artikolo laŭ la sekva ligilo.

Legu pli: Malebligu Firewall en Centos 7

Vidi defaŭltajn regulojn kaj atingeblajn zonojn

Eĉ regula fajroŝirmilo havas siajn proprajn difinajn regulojn kaj alireblajn zonojn. Antaŭ ol komenci politikan redaktadon, ni konsilas vin konatiĝi kun la aktuala agordo. Ĉi tio estas farita per simplaj komandoj:

1. La defaŭlta zono determinos la komandon de fajro-cmd-cmd-defaŭlta-defaŭlta.



2. Post ĝia aktivigo, vi vidos novan ĉenon, kie la dezirata parametro montriĝos. Ekzemple, la "publika" zono estas konsiderata en la suba ekrankopio.



3. Tamen, pluraj zonoj povas esti aktivaj tuj, krome, ili estas ligitaj al aparta interfaco. Eltrovu ĉi tiujn informojn per firewall-cmd-cmd-zonoj.



4. La firewall-cmd-list-ĉiu komando montros la regulojn difinitajn por la defaŭlta zono. Atentu la ekrankopion sube. Vi vidas, ke la aktiva zono "publika" estas asignita la "defaŭlta" regulo - la defaŭlta funkcio, la ENPSS3-interfaco kaj du servoj aldonitaj.



5. Se vi bezonas lerni ĉiujn disponeblajn fajroŝirmajn zonojn, eniru firewall-cmd-zonojn.



6. La parametroj de la specifa zono estas difinitaj per firewall-cmd --zone = nomo - listo-ĉiuj, kie nomo estas la nomo de la zono.

Post determini la postulatajn parametrojn, Vi povas movi al ilia ŝanĝo kaj aldono. Ni analizu pluraj de la plej popularaj agordoj detale.

Starigadon interfaco zonoj

Kiel vi scias de la informo supre, via defaŭlta zono estas difinita por ĉiu interfaco. Estos en ĝi ĝis la agordojn ŝanĝi la uzanto aŭ programmatically. Eblas permane translokigi la interfaco al la zono por kunsido, kaj tio okazos per aktivigante la Ŝvitas Firewall-CMD --Zone = HEJMO komando --change-interfaco = eth0. La rezulto "Sukceso" sugestas, ke la transigo sukcesis. Memoru ke tiaj agordoj estas reagordi tuj post reŝarĝi la fajroŝirmilo.

Kun tia ŝanĝo en la parametroj, ĝi devus konsideri ke la operacio de la servoj povas esti reset. Kelkaj el ili ne subtenas funkcias en iuj zonoj, ni diru, SSH kvankam atingebla en "Hejmo", sed en uzanto aŭ speciala servo funkcios eksteren. Certiĝu ke la interfaco estis sukcese ligita al la nova branĉo, enmetante Firewall-CMD --Get-Active-Zonoj.

Se vi volas reagordi la antaŭe faritaj agordojn, simple kuri la Rekomenci de la Firewall: Ŝvitas Systemctl Rekomenci Firewalld.Service.

Kelkfoje ne ĉiam oportuna por ŝanĝi la interfacon zono en nur unu sesio. En ĉi tiu kazo, vi bezonos redakti la agordo-dosiero por ke ĉiu agordoj estas esmaltadas sur permanenta bazo. Por fari tion, ni konsilas al vi uzi la Nano tekstoredaktilo, kiu estas instalita de la oficiala stokado de Ŝvitas Yum Instali Nano. Sekva restas tiaj agoj:

1. Malfermu la agorda dosiero per la redaktilo enmetante Ŝvitas Nano / ktp / sysconfig / reto-skriptoj / ifcfg-eth0, kie eth0 estas la nomo de la necesa interfaco.



2. Konfirmu vian konton aŭtentokontrolo plenumi pliaj agoj.



3. Aranĝo la "Zono" parametron kaj ŝanĝi ĝian valoron al la dezirata, ekzemple, publikaj aŭ hejmo.



4. Tenu la Ctrl + O ŝlosilojn por savi la ŝanĝojn.



5. Ne ŝanĝu la dosiernomo, sed simple alklaku ENTER.



6. Eliri la tekstoredaktilo tra ctrl X.

La interfaco zono estos la unu kiu vi specifita ĝi, ĝis la sekva eldono de la agorda dosiero. Por ĝisdatigita parametroj, kuri ŝvitas SystemCTL Rekomenci Network.Service kaj ŝvitas SystemCTL Rekomenci Firewalld.Service.

Lancxi la defaŭlta zono

Supre, ni jam montris teamon, kiu permesas vin lerni la defaŭltan zonon. I ankaŭ povas esti ŝanĝita per la parametro laŭ via elekto. Por fari tion, en la konzolo, sufiĉas registri ŝvititan firewall-cmd-cmd-defaŭltan-zonon = nomo, kie nomo estas la nomo de la bezonata zono.

La sukceso de la komando estos pruvita de la aliĝo "Sukceso" en aparta linio. Post tio, ĉiuj aktualaj interfacoj naskiĝos al la specifa zono, se la alia ne estas specifita en la agordaj dosieroj.

Krei regulojn por programoj kaj utilecoj

Je la komenco de la artikolo, ni parolis pri la ago de ĉiu zono. Difini servojn, servaĵojn kaj programojn en tiaj branĉoj permesos apliki individuajn parametrojn por ĉiu el ili por ĉiu uzanto-petoj. Por komenci, ni konsilas al vi konatiĝi kun la plena listo de disponeblaj servoj nuntempe: Firewall-Cmd-Cmd-Servoj.

La rezulto montriĝos rekte en la konzolon. Ĉiu servilo estas dividita per spaco, kaj vi povas facile trovi la ilon, kiun vi interesas. Se la bezonata servo mankas, ĝi devus esti aldone instalita. Pri la instalaj reguloj, legu en la oficiala programara dokumentado.

La supra komando montras nur la nomojn de la servoj. Detalaj informoj por ĉiu el ili estas akirita per la individua dosiero sur la vojo / usr / lib / firewalld / servoj. Tiaj dokumentoj havas XML-formaton, la vojon, ekzemple, al SSH aspektas tiel: /usr/lib/firewalld/services/ssh.xml, kaj la dokumento havas la jenajn enhavojn:

SSH.

Secure Shell (SSH) estas protokolo por ensalutado kaj plenumado de komandoj pri foraj maŝinoj. I disponigas sekurajn ĉifritajn komunikadojn. Se vi planas aliri vian maŝinan remotenet per SSH super fajro-interfaco, ebligu ĉi tiun opcion. Vi bezonas la pakaĵon OpenSSH-servilo instalita por ĉi tiu opcio por esti utila.

Serva subteno estas aktivigita en specifa zono permane. En la terminalo, vi devus agordi la Sudo-firewall-cmd --zone = Public --d-Service = HTTP-komando, kie --zone = Publiko estas aktiviga zono, kaj --d-Service = HTTP-serva nomo. Notu, ke tia ŝanĝo nur validos ene de unu kunsido.

Permanenta aldono estas efektivigita per sudo-firewall-cmd --zone = Publika-servo-servo = http, kaj la rezulto "sukceso" indikas la sukcesan kompletigon de la operacio.

Vi povas vidi kompletan liston de konstantaj reguloj por specifa zono montrante liston en aparta linio de la konzolo: sudo firewall-cmd --zone = Publikaj --termant-list-servoj.

Decida problemo pri manko de aliro al la servo

Normaj firewall-reguloj estas indikitaj per la plej popularaj kaj sekuraj servoj kiel permesitaj, sed iuj normaj aŭ triaj aplikoj kiujn ĝi blokas. En ĉi tiu kazo, la uzanto permane bezonas ŝanĝi la agordojn por solvi la problemon kun aliro. Vi povas fari ĉi tion en du malsamaj metodoj.

Portes-haveno

Kiel vi scias, ĉiuj retaj servoj uzas specifan havenon. I estas facile detektita de fajroŝirmilo, kaj blokoj povas esti faritaj. Eviti tiajn agojn de la fajroŝirmilo, vi devas malfermi la deziratan havenon de la Sudo-Firewall-Cmd --zone = Publika - Port-Port = 0000 / TCP, kie --zono = Publiko estas havena areo, - Port = 0000 / TCP - Port-numero kaj protokolo. La firewall-cmd-list-havenoj opcio montros liston de malfermaj havenoj.

Se vi bezonas malfermi havenojn inkluzivitajn en la teritorio, uzu la SUDO-firewall-cmd-ŝnuron --zone = Publika -d-port = 0000-9999 / UDP, kie --add-port = 0000-9999 / UDP - Port-gamo kaj ilia protokolo.

La supraj komandoj nur permesas vin testi la uzon de similaj parametroj. Se ĝi pasis sukcese, vi devus aldoni la samajn havenojn al konstantaj agordoj, kaj ĉi tio estas farita per enigo en sudo firewall-cmd --zone = Publika --Permanent -Add-Port = 0000 / TCP aŭ sudo firewall-cmd - Zono = Publika --Permanenta --Ald-haveno = 0000-9999 / UDP. La listo de malfermaj konstantaj havenoj estas rigardata jene: Sudo Firewall-Cmd --zone = Publikaj --termangent-list-havenoj.

Difino de servo

Kiel vi povas vidi, aldonante havenojn ne kaŭzas malfacilaĵojn, sed la procedo estas komplika kiam aplikoj uzas grandan kvanton. Por spuri ĉiujn uzitajn havenojn malfacilas, pro kiu la serva determino estos pli ĝusta eblo:

1. Kopiu la agordan dosieron per skribado sudo CP /usr/lib/firewalld/services/service.xml /etc/firewalld/services/example.xml, kie servo.xml estas la nomo de la serva dosiero, kaj la ekzemplo.xml estas la Nomo de ĝiaj kopioj.



2. Malfermu kopion por ŝanĝi per iu ajn tekstoredaktilo, ekzemple, sudo nano /etc/firewalld/services/example.xml.



3. Ekzemple, ni kreis kopion de la HTTP-servo. En la dokumento, vi esence vidas diversajn metadatenojn, ekzemple, mallongan nomon kaj priskribon. I tuŝas la servilon labori nur la ŝanĝon de la havena nombro kaj protokolo. Super la ŝnuro "" devus esti aldonita por malfermi la havenon. TCP - Uzita protokolo, 0000 - havena nombro.



4. Konservu ĉiujn ŝanĝojn (Ctrl + O), fermu la dosieron (CTRL + X), kaj poste rekomencu la fajroŝirmilon por apliki la parametrojn per la Sudo-Firewall-Cmd-Cmd-ŝarĝo. Post tio, la servo aperos en la listo de haveblaj, kiuj povas esti vidataj per fajroŝirmiloj-cmd-oj-servoj.

Vi nur devas elekti la plej taŭgan solvon al la serva problemo kun aliro al la servo kaj ekzekuti la instrukciojn. Kiel vi povas vidi, ĉiuj agoj estas faritaj sufiĉe facile, kaj ne devus esti malfacilaĵoj.

Krei kutimajn zonojn

Vi jam scias, ke en komence granda nombro da diversaj zonoj kun difinitaj reguloj estis kreita en Firewald. Tamen, situacioj okazas kiam la sistemo-administranto bezonas krei uzantan zonon, kiel ekzemple "Publicweb" por la instalita retservilo aŭ "private" - por la DNS-servilo. Pri ĉi tiuj du ekzemploj, ni analizos la aldonon de la branĉoj:

1. Kreu du novajn konstantajn zonojn de sudo-firewall-cmd-cmd-castermanen - zon-zono = Publicweb kaj sudo-firewall-cmd-cmd-castermanen - -Ne-zono = tritiĝis.



2. Ili estos disponeblaj post rekomenci la Sudo-firewall-cmd-ros-ilon. Por montri permanentajn zonojn, enigu la Sudo-firewall-cmd-cmd-cmd-zonojn.



3. Asignu ilin la necesajn servojn, kiel "SSH", "HTTP" kaj "HTTPS". Ĉi tiuj estas faritaj de la Sudo-firewall-cmd --zone = Publicweb -add-Service = ssh, sudo firewall-cmd --zone = Publicweb --do-Service = Publicweb - Firewall-Cmd - Publiko Add- Service = HTTPS, kie --zone = Publicweb estas la nomo de la zono por aldoni. Vi povas vidi la agadon de servoj per pritraktata fajroŝirmilo-cmd --zone = Publicweb-listo-ĉio.

De ĉi tiu artikolo, vi lernis krei kutimajn zonojn kaj aldoni servojn al ili. Ni jam diris al ili kiel defaŭlta kaj asignante interfacojn supre, vi nur povas specifi la ĝustajn nomojn. Ne forgesu rekomenci la fajroŝirmilon post fari ajnan konstantan ŝanĝon.

Kiel vi povas vidi, Firewalld Firewall estas sufiĉe volumetria ilo, kiu ebligas al vi fari la plej flekseblan agordon de la fajroŝirmilo. I restas nur por certigi, ke la ilo lanĉas la sistemon kaj la specifajn regulojn tuj komencas sian laboron. Faru ĝin kun la Sudo-SystemCl ebligi al Firewalld-komando.