Määritä palomuuri CENTOS 7: ssa

Käyttöjärjestelmään asennettua palomuuria käytetään estämään tietoverkkojen luvattoman liikenteen. Manuaalinen tai luo automaattisesti palomuurin erityisääntöjä, jotka ovat vastuussa pääsyn valvonnasta. Linux-ytimen kehitetty OS: ssä Centos 7 on sisäänrakennettu palomuuri, ja sitä ohjaa palomuuri. Oletus palomuuri on mukana, ja haluamme puhua siitä tänään.

Mukauta palomuuri CENTOS 7: ssa

Kuten edellä mainittiin, standardin palomuuri Centos 7: ssä on palomuuri-apuohjelma. Siksi palomuuriasetus otetaan huomioon tämän työkalun esimerkissä. Voit asettaa suodatussäännöt samoille iptables, mutta se suoritetaan hieman erilainen. Suosittelemme tutustumaan mainitun apuohjelman kokoonpanoon napsauttamalla seuraavaa linkkiä, ja aloitamme palomuurin purkamisen.

Jos olet kerran väliaikaisesti tai pysyvästi käytöstä, poistamalla palomuuri, neuvomme käyttää toisessa artikkelissa esitettyjä ohjeita seuraavalla linkillä.

Lue lisää: Poista palomuuri CENTOS 7: ssa

Katso oletussäännöt ja edulliset vyöhykkeet

Jopa säännöllisellä palomuurilla on omat säännöt ja helposti saatavilla olevat vyöhykkeet. Ennen kuin aloitat poliitikkojen muokkausta, suosittelemme sinua tutustumaan nykyiseen kokoonpanoon. Tämä tehdään yksinkertaisten komentojen avulla:

1. Oletusvyöhyke määrittää palomuurin CMD - oletusvyöhykkeen komento.



2. Aktivoinnin jälkeen näet uuden merkkijonon, jossa haluttu parametri näytetään. Esimerkiksi "julkinen" -vyöhyke katsotaan alla olevassa kuvakaappauksessa.



3. Useat vyöhykkeet voivat kuitenkin olla aktiivisia välittömästi, lisäksi ne on sidottu erilliseen käyttöliittymään. Selvitä nämä tiedot palomuuri-CMD - Active-Zonesin kautta.



4. Palomuuri-cmd -list-kaikki-komento näyttää oletusvyöhykkeen asetetut säännöt. Kiinnitä huomiota alla olevaan kuvakaappaukseen. Näet, että aktiivinen vyöhyke "julkinen" on määritetty "oletus" -sääntöön - oletustoiminto, ENP0S3-liitäntä ja kaksi lisätään kaksi palvelua.



5. Jos tarvitset kaikki käytettävissä olevat palomuurivyöhykkeet, kirjoita palomuuri-cmd-vyöhykkeet.



6. Erityisen alueen parametrit määritellään palomuurin CMD --Zone = nimi --List-kaikki, jossa nimi on vyöhykkeen nimi.

Määrityksen jälkeen tarvittavat parametrit, voit siirtyä niiden muutoksia ja lisäksi. Katsotaanpa analysoida useita suosituimpia kokoonpanoja yksityiskohtaisesti.

Perustamalla käyttöliittymä alueet

Kuten tiedätte edellä mainitut tiedot, oletus vyöhyke määritellään kullekin liitännälle. Se tulee olemaan, kunnes asetukset muuttuvat käyttäjän tai ohjelmallisesti. On mahdollista manuaalisesti siirtää rajapinnan vyöhykkeeseen istuntoa kohden, ja se suoritetaan aktivoimalla Sudo palomuuri-CMD: --Zone = HOME komento --change-liitäntä = eth0. Tulos "valmis" viittaa siihen, että siirto oli onnistunut. Muista, että tällaiset asetukset palautetaan heti uudelleenkäynnistyksen jälkeen palomuurin.

Tällaisen muutoksen parametrit, on syytä muistaa, että toiminta palvelujen voidaan nollata. Jotkut heistä eivät tue toimi tietyillä alueilla, sanokaamme, SSH vaikka saatavilla "Koti", mutta käyttäjä tai erityinen palvelu treenata. Varmista, että liittymä onnistuneesti sidottu uusi haara, kirjoittamalla palomuuri-CMD --get-Active-alueita.

Jos haluat palauttaa aiemmin tehnyt asetuksia, yksinkertaisesti ajaa uudelleenkäynnistyksen palomuurin sudo Systemctl Käynnistä Firewalld.Service.

Joskus se ei ole aina mukava muuttaa rajapintavyöhykkeellä vain yksi istunto. Tässä tapauksessa sinun täytyy muokata konfiguraatiotiedosto jotta kaikki asetukset emaloitu pysyvästi. Voit tehdä tämän, suosittelemme käyttämään Nano tekstieditori, joka asennetaan virallisen varastoinnista Sudo Yum Asenna Nano. Seuraava edelleen tällaiset toimet:

1. Avaa konfiguraatiotiedosto kautta toimittaja antamalla Sudo Nano / etc / sysconfig / verkko-skriptit / ifcfg-eth0, jossa ETH0 on nimi tarvitaan käyttöliittymä.



2. Vahvista tilin autentikoinnin suorittamaan lisätoimenpiteitä.



3. Asettelu "Zone" parametri ja muuttaa sen arvoa haluttuun, esimerkiksi julkisen tai kotona.



4. Pidä Ctrl + O avaimet Tallenna muutokset.



5. Älä muuta tiedoston nimeä, mutta klikkaa ENTER.



6. Poistua tekstinmuokkausnäytöstä kautta Ctrl + X.

Nyt rajapintavyöhykkeellä on sellainen, että olet määrittänyt sitä, kunnes seuraava editointi asetustiedostoa. Päivitettyjä parametrejä, suorita Sudo SystemCTL Käynnistä Network.Service ja Sudo SystemCTL Restart Firewalld.Service.

Asetus oletusvyöhyke

Yllä, olemme jo osoittaneet joukkueen, jonka avulla voit oppia oletusvyöhykkeen. Sitä voidaan myös muuttaa asettamalla parametri haluamallesi. Tehdä tämä, konsolissa riittää rekisteröitymään sudo firewall-cmd - oletus-zone = nimi, jossa nimi on vaaditun alueen nimi.

Komennon menestys näkyy merkinnällä "Menestys" erillisessä rivillä. Tämän jälkeen kaikki nykyiset rajapinnat syntyvät määritetylle vyöhykkeelle, jos toinen ei ole määritetty konfigurointitiedostoissa.

Ohjelmien ja apuohjelmien sääntöjen luominen

Artikkelin alussa puhuimme kunkin vyöhykkeen toiminnasta. Palvelujen määrittäminen, apuohjelmat ja ohjelmat tällaisissa sivuliikkeissä mahdollistaa yksittäisten parametrien soveltamisen jokaiselle käyttäjille. Aluksi neuvotellaan tutustumaan täydelliseen luetteloon tällä hetkellä saatavilla olevista palveluista: Firewall-Cmd --get-palvelut.

Tulos näkyy suoraan konsoliin. Jokainen palvelin on jaettu tilalla, ja voit helposti löytää työkalun, johon olet kiinnostunut. Jos vaadittu palvelu puuttuu, se on lisäksi asennettava. Lue asennussäännöistä virallisessa ohjelmistoasiakirjassa.

Edellä mainittu komento osoittaa vain palveluiden nimet. Yksityiskohtaiset tiedot jokaisesta niistä saadaan yksittäisen tiedoston kautta polku / USR / lib / palomuuri / palvelut. Tällaisilla asiakirjoilla on XML-muoto, esimerkiksi SSH: n polku: /usr/lib/firewalld/services/ssh.xml ja asiakirjassa on seuraava sisältö:

SSH.

Secure Shell (SSH) on protokolla etäkoneiden komentojen kirjautumiseen ja suorittamiseen. Se tarjoaa turvallisen salatun viestinnän. Jos aiot käyttää koneesi Remotetenet SSH: n kautta palomuurisen käyttöliittymän kautta, ota tämä vaihtoehto käyttöön. Tarvitset tämän vaihtoehdon asennettava OpenSSH-palvelinpaketti.

Palvelustuki aktivoidaan tietyssä vyöhykkeessä manuaalisesti. Terminaalissa sinun pitäisi asettaa sudo firewall-cmd --zone = julkinen --dd-service = http-komento, jossa --zone = julkinen on aktivointivyöhyke ja --dd-service = http - palvelun nimi. Huomaa, että tällainen muutos on voimassa vain yhden istunnon sisällä.

Pysyvä lisätään sudo firewall-cmd --zone = publicpermanent --dd-service = http, ja tulos "Menestys" ilmaisee toiminnan onnistumisen.

Voit tarkastella täydellistä luetteloa tiettyyn vyöhykkeeseen pysyvistä säännöistä näyttämällä luettelo konsolin erillisessä rivillä: sudo firewall-cmd --zone = Julkinen -permanent -list-palvelut.

Päätösongelma, jolla ei ole pääsyä palveluun

Vakiopalomuurisäännöt on merkitty suosituimmilla ja turvallisilla palveluilla sallituiksi, mutta jotkin standardit tai kolmannen osapuolen sovellukset, jotka se estää. Tässä tapauksessa käyttäjän on muutettava manuaalisesti asetuksia ongelman ratkaisemiseksi. Voit tehdä tämän kahdessa eri menetelmällä.

Portes-portti

Kuten tiedätte, kaikki verkkopalvelut käyttävät tiettyä porttia. Se on helposti havaittavissa palomuurilla ja lohkot voidaan suorittaa. Tällaisten toimien välttämiseksi sinun on avattava haluttu SUDO Firewall-Cmd --Zone = Julkinen - Portd-Port = 0000 / TCP, jossa --zone = julkinen on satama-alue, --dd- Port = 0000 / TCP - portin numero ja protokolla. Palomuuri-CMD -list-porttien vaihtoehto näyttää luettelon avoimista portteista.

Jos sinun on avoimet portit mukana alueella, käytä sudo Firewall-CMD string --zone = Public --DD-port = 0000-9999 / UDP, jossa --add-port = 0000-9999 / UDP - porttialue ja niiden pöytäkirja.

Edellä mainitut komennot mahdollistavat vain vastaavien parametrien käytön. Jos se on läpäissyt onnistuneesti, sinun on lisättävä samat portit vakioasetuksiin, ja tämä tehdään syöttämällä sudo firewall-cmd --zone = publicpermanent -dd-portti = 0000 / TCP tai sudo firewall-cmd - Zone = Julkinen --Permanent --Add-portti = 0000-9999 / UDP. Avoin pysyvien satamien luetteloa tarkastellaan seuraavasti: sudo firewall-cmd --zone = publicpermanent -list-portit.

Palvelun määritelmä

Kuten näet, porttien lisääminen ei aiheuta vaikeuksia, mutta menettely on monimutkainen, kun sovellukset käyttävät suurta määrää. Kaikkien käytettyjen porttien seuraamiseksi on vaikeaa, koska palvelun määritys on oikeassa vaihtoehdossa:

1. Kopioi kokoonpanotiedosto kirjoittamalla sudo cp /usr/lib/firewalld/services/service.xml /etc/firewalld/services/Example.xml, jossa Service.xml on palvelutiedoston nimi ja esimerkki .xml on Kopioiden nimi.



2. Avaa kopio muuttamaan minkä tahansa tekstieditorin kautta, esimerkiksi sudo nano /etc/firewalld/services/example.xml.



3. Esimerkiksi olemme luoneet kopion HTTP-palvelusta. Asiakirjassa voit periaatteessa nähdä erilaisia ​​metatietoja, esimerkiksi lyhyt nimi ja kuvaus. Se vaikuttaa palvelimeen toimimaan vain portin numeron ja protokollan muutoksen. Stringin yläpuolella "" on lisättävä portin avaamiseksi. TCP - käytetty protokolla, 0000 - portin numero.



4. Tallenna kaikki muutokset (Ctrl + O), sulje tiedosto (CTRL + X) ja käynnistä palomuuri parametrien käyttöön sudo-palomuurin CMD --Reload. Tämän jälkeen palvelu näkyy käytettävissä olevassa luettelossa, jota voidaan tarkastella palomuuri-CMD-palveluiden kautta.

Sinun tarvitsee vain valita sopivin ratkaisu palvelun ongelmaan pääsyn palveluun ja suoritettava annettuja ohjeita. Kuten näette, kaikki toimet suoritetaan melko helposti, eikä ole vaikeuksia.

Mukautettujen alueiden luominen

Tiedät jo, että palomuurissa on luotu useat monipuoliset vyöhykkeet, joissa on määritellyt säännöt. Tilanne ilmenee, kun järjestelmänvalvojan on luotava käyttäjävyöhyke, kuten "PublicWeb" asennettuun Web-palvelimen tai "PrivatednS" - DNS-palvelimelle. Näissä kahdessa esimerkissä analysoimme sivukonttorin lisäämisen:

1. Luo kaksi uutta pysyvää vyöhykettä Sudo Firewall-CmdPpermanent --New-Zone = PublicWeb- ja sudo Firewall-CmdPpermanent --New-Zone = Privatedns.



2. Ne ovat käytettävissä SUGO-palomuurin uudelleenkäynnistyksen jälkeen. Jos haluat näyttää pysyviä vyöhykkeitä, kirjoita sudo palomuuri-cmdPpermanent --Get-alueet.



3. Määritä ne tarvittavat palvelut, kuten "SSH", "http" ja "https". Nämä tekevät sudo firewall-cmd --zone = publicweb --dd-service = ssh, sudo firewall-cmd --zone = publicweb --do-service = publicweb --do firewall-cmd - PublicWeb - PublicWeb - ADD- SERVICE = https, jossa --Zone = PublicWeb on vyöhykkeen nimi. Voit tarkastella palveluiden aktiviteettia vireillä palomuuri-cmd --zone = PublicWeb -list-kaikki.

Tästä artikkelista opit luomaan mukautettuja vyöhykkeitä ja lisää palveluja heille. Olemme jo kertoneet heille oletuksena ja määrittämällä edellä olevia rajapintoja, voit määrittää vain oikeat nimet. Älä unohda käynnistää palomuuri uudelleen pysyvän muutoksen tekemisen jälkeen.

Kuten näet, palomuuri palomuuri on melko volumetrinen työkalu, jonka avulla voit tehdä palomuurin joustavimman kokoonpanon. Se on pysyy vain varmista, että apuohjelma käynnistää järjestelmän ja määritetyt säännöt välittömästi aloittavat työnsä. Tee se sudo systemctl käyttöön palomuurin komennolla.