Configure el firewall en Centlos 7

Firewall instalado en el sistema operativo se utiliza para evitar el tráfico no autorizado entre las redes de computadoras. Manual o crea automáticamente reglas especiales para el firewall, que son responsables del control de acceso. En OS, desarrollado en el kernel de Linux, CENTOS 7 hay un firewall incorporado, y está controlado por Firewall. El firewalld predeterminado está involucrado, y nos gustaría hablar de ello hoy.

Personaliza el firewall en Centlos 7

Como se mencionó anteriormente, el firewall estándar en CENTOS 7 se le asigna una utilidad de firewalld. Es por eso que la configuración del firewall se considerará en el ejemplo de esta herramienta. Puede configurar las reglas de filtrado con los mismos iptables, pero se realiza ligeramente diferente. Recomendamos familiarizarse con la configuración de la utilidad mencionada haciendo clic en el siguiente enlace, y comenzaremos el desmontaje de Firewalld.

Si una vez se deshabilitará temporalmente o permanentemente, desactive el firewall, le recomendamos que utilice las instrucciones presentadas en el otro artículo por el siguiente enlace.

Leer más: Desactivar Firewall en Centlos 7

Ver reglas predeterminadas y zonas asequibles

Incluso el firewall regular tiene sus propias reglas definitivas y zonas accesibles. Antes de comenzar la edición de políticos, le recomendamos que se familiarice con la configuración actual. Esto se hace usando comandos simples:

1. La zona predeterminada determinará el comando Firewall-Cmd --Get-Faith-Zone.



2. Después de su activación, verá una nueva cadena donde se mostrará el parámetro deseado. Por ejemplo, la zona "pública" se considera en la captura de pantalla a continuación.



3. Sin embargo, varias zonas pueden estar activas de inmediato, además, están vinculadas a una interfaz separada. Averigüe esta información a través de firewall-cmd --get-active-zonas.



4. El comando Firewall-CMD-LISTA-Todos mostrará las reglas establecidas para la zona predeterminada. Preste atención a la captura de pantalla a continuación. Usted ve que la zona activa "pública" se le asigna la regla "predeterminada": la función predeterminada, la interfaz ENP0S3 y dos servicios agregados.



5. Si tiene la necesidad de aprender todas las zonas de firewall disponibles, ingrese las zonas de firewall-cmd --get.



6. Los parámetros de la zona específica se definen a través de Firewall-Cmd --Zone = Name - List-LIST-ALL, donde el nombre es el nombre de la zona.

Después de determinar los parámetros necesarios, se puede mover a su cambio y adición. Analicemos algunas de las configuraciones más populares en detalle.

La creación de zonas de interfaz

Como ya saben de la información anterior, su zona predeterminada se define para cada interfaz. Será en ella hasta que los ajustes cambian el usuario o mediante programación. Es posible transferir manualmente la interfaz a la zona por sesión, y se lleva a cabo mediante la activación de la Sudo Firewall-CMD --zona = comando INICIO --Cambie-interface = eth0. El resultado "éxito" sugiere que la transferencia se ha realizado correctamente. Recordemos que estos ajustes se restablecen inmediatamente después de reiniciar el servidor de seguridad.

Con tal cambio en los parámetros, hay que tener en cuenta que la operación de los servicios se puede restablecer. Algunos de ellos no son compatibles con el funcionamiento en ciertas zonas, digamos, SSH, aunque accesible en "Inicio", pero en el usuario o servicio especial saldrá bien. Asegúrese de que la interfaz estaba atado con éxito a la nueva rama, mediante la introducción de Firewall-CMD --get-Active-Zonas.

Si desea restablecer los ajustes realizados previamente, basta con ejecutar el reinicio del servidor de seguridad: Sudo Systemctl Reiniciar Firewalld.Service.

A veces, no siempre es conveniente cambiar la zona de interfase en una sola sesión. En este caso, tendrá que editar el archivo de configuración para que todos los ajustes se esmaltados sobre una base permanente. Para ello, le recomendamos que utilice el editor de textos nano, que se instala desde el almacenamiento oficial de Sudo yum install nano. A continuación se mantiene este tipo de acciones:

1. Abra el archivo de configuración a través del editor mediante la introducción de Sudo nano / etc / sysconfig / network-scripts / ifcfg-eth0, donde ETH0 es el nombre de la interfaz necesaria.



2. Confirmar la autenticación de cuenta para realizar otras acciones.



3. Disposición del parámetro "Zona" y cambiar su valor a la deseada, por ejemplo, pública o en el hogar.



4. Mantenga las teclas Ctrl + S para guardar los cambios.



5. No cambie el nombre del archivo, sino simplemente hacer clic en ENTRAR.



6. Salga del editor de texto a través de Ctrl + X.

Ahora la zona de interfaz será la que especificó que, hasta la próxima edición del archivo de configuración. Para los parámetros actualizados, ejecute Sudo SystemCTL Reiniciar Network.Service y Sudo SystemCTL Reiniciar Firewalld.Service.

Ajuste de la zona predeterminada

ANTERIOR, ya hemos demostrado un equipo que le permite aprender la zona predeterminada. También se puede cambiar configurando el parámetro a su elección. Para hacer esto, en la consola, es suficiente para registrar el nombre de sudo firewall-cmd --set-default-zone =, donde el nombre es el nombre de la zona requerida.

El éxito del comando será evidenciado por la inscripción "éxito" en una línea separada. Después de eso, todas las interfaces actuales nacerán en la zona especificada, si el otro no se especifica en los archivos de configuración.

Creando reglas para programas y utilidades.

Al comienzo del artículo, hablamos sobre la acción de cada zona. Definición de servicios, utilidades y programas en tales ramas permitirá aplicar parámetros individuales para cada uno de ellos para cada solicitud de usuario. Para empezar, le recomendamos que se familiarice con la lista completa de servicios disponibles en este momento: Firewall-CMD -Get-Services.

El resultado se mostrará directamente en la consola. Cada servidor está dividido por un espacio, y puede encontrar fácilmente la herramienta que le interesa. Si falta el servicio requerido, debe instalarse adicionalmente. En las reglas de instalación, lea en la documentación oficial de software.

El comando anterior demuestra solo los nombres de los servicios. La información detallada para cada una de ellas se obtiene a través del archivo individual en la ruta / USR / LIB / Firewalld / Services. Dichos documentos tienen un formato XML, la ruta, por ejemplo, a SSH se ve así: /usr/lib/firewalld/services/ssh.xml, y el documento tiene los siguientes contenidos:

Ssh

Secure Shell (SSH) es un protocolo para iniciar sesión y ejecutar comandos en máquinas remotas. Proporciona comunicaciones cifradas seguras. Si planea acceder a su máquina RemoteNet a través de SSH a través de una interfaz firewall, habilite esta opción. Necesita instalado el paquete OpenSSH-Server para que esta opción sea útil.

El soporte de servicio se activa en una zona específica manualmente. En el terminal, debe establecer el comando sudo firewall-cmd --zone = Public --DD-SERVICE = HTTP, donde --Zone = Public es una zona de activación, y --d-service = http - Nombre del servicio. Tenga en cuenta que dicho cambio solo será válido dentro de una sesión.

Además permanente se lleva a cabo por medio de sudo Firewall-CMD = --zona Pública --permanent --DD servicio = HTTP, y el resultado "éxito" indica la finalización con éxito de la operación.

Puede ver una lista completa de reglas permanentes para una zona específica al mostrar una lista en una línea separada de la consola: sudo firewall-cmd --zone = Public -permanent - LIST-SERVICES.

Problema de decisión con la falta de acceso al servicio.

Las reglas estándar de firewall están indicadas por los servicios más populares y seguros según lo permitido, pero algunas aplicaciones estándar o de terceros bloquean. En este caso, el usuario debe cambiar manualmente la configuración para resolver el problema con el acceso. Puedes hacer esto en dos métodos diferentes.

PORTES PORTES

Como usted sabe, todos los servicios de red utilizan un puerto específico. Es fácilmente detectado por un firewall, y se pueden realizar bloques. Para evitar tales acciones del firewall, debe abrir el puerto deseado del sudo Firewall-CMD --Zone = Public - Portd-Port = 0000 / TCP, donde --Zone = Public es un área portuaria, --DD- Puerto = 0000 / TCP - Número de puerto y protocolo. La opción Firewall-Cmd-List-Ports mostrará una lista de puertos abiertos.

Si necesita abrir los puertos incluidos en el rango, use la cadena Sudofewall-CMD --Zone = Public --DD-PORT = 0000-9999 / UDP, WHERE -AD-PORT = 0000-9999 / UDP - Rango de puerto y su protocolo.

Los comandos anteriores solo le permiten probar el uso de parámetros similares. Si ha pasado con éxito, debe agregar los mismos puertos a la configuración constante, y esto se realiza ingresando sudo firewall-cmd --zone = Public -permanent --Add-Port = 0000 / TCP o Sudo Firewall-CMD - Zona = Public --Permanent --Add-Port = 0000-9999 / UDP. La lista de puertos permanentes abiertos se ve de la siguiente manera: Sudo Firewall-CMD --Zone = Public -Permanent - List-Puertos.

Definición de servicio

Como puede ver, agregar puertos no causa ninguna dificultad, pero el procedimiento es complicado cuando las aplicaciones utilizan una gran cantidad. Para rastrear todos los puertos usados ​​se vuelve difícil, en vista de la cual la determinación del servicio será la opción más correcta:

1. Copie el archivo de configuración escribiendo sudo cp /usr/lib/firewalld/services/service.xml /etc/firewalld/services/example.xml, donde Service.xml es el nombre del archivo de servicio, y el ejemplo.xml es el Nombre de sus copias.



2. Abra una copia para cambiar a través de cualquier editor de texto, por ejemplo, sudo nano /etc/firewalld/services/example.xml.



3. Por ejemplo, hemos creado una copia del servicio HTTP. En el documento, básicamente ves varios metadatos, por ejemplo, un nombre corto y una descripción. Afecta al servidor para trabajar solo el cambio del número de puerto y el protocolo. Por encima de la cadena "" se debe agregar para abrir el puerto. TCP: protocolo utilizado, un número de puerto 0000.



4. Guarde todos los cambios (CTRL + O), cierre el archivo (CTRL + X) y luego reinicie el firewall para aplicar los parámetros a través del Sudo Firewall-Cmd --Reload. Después de eso, el servicio aparecerá en la lista de disponibles, que se puede ver a través de Firewall-Cmd --Get-Services.

Sólo tiene que elegir la solución adecuada al problema más servicio con acceso al servicio y ejecutar las instrucciones proporcionadas. Como se puede ver, todas las acciones se realizan con bastante facilidad, y no debe haber ninguna dificultad.

La creación de zonas personalizadas

Usted ya sabe que en un principio un gran número de diversas zonas con reglas definidas se ha creado en Firewalld. Sin embargo, las situaciones se producen cuando las necesidades de administrador del sistema para crear una zona de usuario, tales como "PublicWeb" para el servidor web instalado o "PrivatedNS" - para el servidor DNS. En estos dos ejemplos, vamos a analizar la adición de las ramas:

1. Crear dos nuevas zonas permanentes por Sudo Firewall-Cmd --permanent --Nueva-Zone = PublicWeb y Sudo Firewall-CMD --Permanent --Nueva-Zone = PrivatedNS.



2. Estarán disponibles después de reiniciar la herramienta Sudo Firewall-CMD --reLoad. Para mostrar zonas permanentes, introduzca los Sudo Firewall-Cmd --permanent --get-Zonas.



3. Asignarlos a los servicios necesarios, tales como "SSH", "HTTP" y "HTTPS". Estos se realizan por el Sudo Firewall-Cmd --zona = PublicWeb --AÑADA-Servicio = SSH, sudo firewall-cmd = --zona PublicWeb --¿Usted-Servicio = PublicWeb --¿Usted Firewall-Cmd - PublicWeb - PublicWeb - Agregar- Servicio = HTTPS, donde --zona = PublicWeb es el nombre de la zona agregar. Puede ver la actividad de servicios por parte pendiente de Firewall-Cmd --zona = PublicWeb --list-todo.

A partir de este artículo, que ha aprendido cómo crear zonas personalizadas y añadir servicios a ellos. Ya les hemos dicho por defecto y las interfaces de asignación anteriores, sólo puede especificar los nombres correctos. No se olvide de reiniciar el servidor de seguridad después de hacer cualquier cambio permanente.

Como se puede ver, FireWalld firewall es una herramienta bastante volumétrica que le permite realizar la configuración más flexible del cortafuegos. Sólo queda para asegurarse de que se inicie la utilidad con el sistema y las reglas especificadas comienzan inmediatamente su trabajo. Hacerlo con el comando sudo SystemCTL Habilitar Firewalld.