Skonfiguruj firewall w centos 7

Firewall zainstalowany w systemie operacyjnym służy do zapobiegania nieautoryzowanym ruchu między sieciami komputerowymi. Ręczny lub automatycznie tworzy specjalne zasady dla zapory, które są odpowiedzialne za kontrolę dostępu. W systemie opracowanym na jądrze Linux, Centos 7 znajduje się wbudowana zapora i jest kontrolowana przez Firewall. Domyślny firewalld jest zaangażowany i chcielibyśmy o tym porozmawiać dzisiaj.

Dostosuj zaporę w Centos 7

Jak wspomniano powyżej, standardowa firewall w centos 7 jest przypisana narzędzie do Firewalld. Dlatego ustawienie zapory zostanie uwzględnione na przykładzie tego narzędzia. Możesz ustawić reguły filtrowania z tymi samymi iptables, ale jest wykonywany nieco inny. Zalecamy zapoznanie się z konfiguracją wspomnianego narzędzia, klikając na poniższy link, a my rozpoczniemy demontaż zapalowy.

Jeśli kiedyś będziesz tymczasowo lub na stałe wyłączyć zaporę, radzimy sobie wykorzystać instrukcje przedstawione w innym artykule zgodnie z poniższym linkiem.

Czytaj więcej: Wyłącz firewall w Centos 7

Wyświetlaj zasady domyślne i niedrogie strefy

Nawet zwykła firewall ma własne określenie zasad i strefy dostępnych. Przed rozpoczęciem edycji polityki radzimy zapoznać się z bieżącą konfiguracją. Odbywa się to za pomocą prostych poleceń:

1. Domyślna strefa określi polecenie Firewall-Cmd-Pole Command.



2. Po jego aktywacji zobaczysz nowy ciąg, w którym zostanie wyświetlony żądany parametr. Na przykład, "publiczna" strefa jest rozważana w poniższym zrzutu ekranu.



3. Jednakże kilka stref może być aktywne natychmiast, poza tym są związane z osobnym interfejsem. Dowiedz się te informacje za pośrednictwem Firewall-Cmd - Strefy Active-Active.



4. Polecenie Firewall-Cmd - Wszystkie polecenie wyświetli zestaw reguł dla strefy domyślnej. Zwróć uwagę na poniższy zrzut ekranu. Widzisz, że strefa aktywna "publiczna" jest przypisana "Domyślna" reguła - funkcja domyślna, interfejs ENP0S3 i dwóch dodanych usług.



5. Jeśli masz potrzebę nauki wszystkich dostępnych stref zapory, wprowadź strefy Firewall-Cmd -get.



6. Parametry określonej strefy są zdefiniowane przez firewall-cmd --zone = nazwa - lista - wszystko, gdzie nazwa jest nazwą strefy.

Po określeniu wymaganych parametrów można przejść do ich zmiany i dodawania. Przeanalizujmy szczegółowo kilka najpopularniejszych konfiguracji.

Konfigurowanie stref interfejsu

Jak wiadomo z powyższych informacji, domyślna strefa jest zdefiniowana dla każdego interfejsu. Będzie w nim, aż ustawienia zmieniają użytkownika lub programowo. Możliwe jest ręczne przesyłanie interfejsu do strefy na sesję, a następnie przeprowadza się poprzez aktywowanie sudo firewall-cmd --zone = komenda domowa - interfejs międzywcześnie = eth0. Rezultat "sukces" sugeruje, że transfer odniosły sukces. Przypomnijmy, że takie ustawienia są resetowane natychmiast po ponownym uruchomieniu zaporę.

Dzięki takiej zmianie parametrów należy pamiętać, że funkcjonowanie usług można zresetować. Niektóre z nich nie obsługują funkcjonowania w niektórych strefach, powiedzmy, SSH, chociaż dostępny w "domu", ale w użytkowniku lub specjalnej służbie będzie działać. Upewnij się, że interfejs został pomyślnie związany z nową oddział, wchodząc do stref Firewall-Cmd-Active-Active-Active.

Jeśli chcesz zresetować wcześniej wprowadzone ustawienia, po prostu uruchom ponownie restart zapora: sudo Systemctl restart firewalld.service.

Czasami nie zawsze jest to wygodne do zmiany strefy interfejsu w jednej sesji. W takim przypadku będziesz musiał edytować plik konfiguracyjny, aby wszystkie ustawienia były emaliowane na stałe. Aby to zrobić, radzimy sobie użyć edytora tekstu Nano, który jest zainstalowany z oficjalnego przechowywania Sudo Yum Install Nano. Następnie pozostaje takie działania:

1. Otwórz plik konfiguracyjny za pomocą edytora, wprowadzając Sudo Nano / etc / Sysconfig / Scripts / IfCFG-ETH0, gdzie ETH0 jest nazwą wymaganego interfejsu.



2. Potwierdź uwierzytelnianie konta, aby wykonać dalsze działania.



3. Układ parametr "strefy" i zmień jego wartość do pożądanego, na przykład, publiczności lub domu.



4. Przytrzymaj klawisze Ctrl + O, aby zapisać zmiany.



5. Nie zmieniaj nazwy pliku, ale po prostu kliknij Enter.



6. Wyjdź z edytora tekstu przez Ctrl + X.

Teraz strefa interfejsu będzie ta, którą ją podałeś, aż do następnej edycji pliku konfiguracyjnego. Dla zaktualizowanych parametrów Uruchom Sudo Systemctl Restart Network.Service i Sudo Systemctl Restart Firewalld.Service.

Ustawianie strefy domyślnej

Powyżej zademonowaliśmy już zespół, który pozwala nauczyć się strefy domyślnej. Można go również zmienić, ustawiając parametr do wyboru. Aby to zrobić, w konsoli, wystarczy zarejestrować sudo firewall-cmd --set-domyślne-strefy = nazwa, w której nazwa jest nazwą wymaganej strefy.

Sukces polecenia będzie świadczy napis "sukces" w oddzielnej linii. Po tym wszystkie bieżące interfejsy będą narodzić się z określoną strefą, jeśli drugi nie jest określony w plikach konfiguracyjnych.

Tworzenie reguł programów i narzędzi

Na samym początku artykułu rozmawialiśmy o działaniu każdej strefy. Definiowanie usług, narzędzi i programów w takich gałęziach pozwolą na zastosowanie poszczególnych parametrów dla każdego z nich dla każdego żądania użytkownika. Na początku radzimy sobie zapoznać się z pełną listą usług dostępnych w tej chwili: Firewall-Cmd-Services.

Wynik zostanie wyświetlony bezpośrednio do konsoli. Każdy serwer jest podzielony przez przestrzeń i łatwo znajdziesz narzędzie, które Cię interesują. Jeśli brakuje wymaganej usługi, należy go dodatkowo zainstalować. W regułach instalacji przeczytaj w oficjalnej dokumentacji oprogramowania.

Powyższe polecenie pokazuje tylko nazwy usług. Szczegółowe informacje dla każdego z nich są uzyskiwane za pośrednictwem pojedynczego pliku na ścieżce / usr / lib / firewalld / usługi. Takie dokumenty mają format XML, ścieżkę, na przykład do SSH wygląda tak: /usr/lib/firewalld/services/ssh.xml, a dokument ma następujące zawartości:

Ssh.

Bezpieczna powłoka (SSH) jest protokołem do logowania i wykonywania poleceń na maszynach zdalnych. Zapewnia bezpieczną szyfrowaną komunikację. Jeśli planujesz uzyskać dostęp do remotenetu maszyny przez SSH przez interfejs zapory, włącz tę opcję. Potrzebujesz zainstalowanego pakietu serwera OpenSSH-Server, aby być przydatnym.

Obsługa serwisowa jest aktywowana w określonej strefie ręcznie. W terminalu powinieneś ustawić Sudo Firewall-Cmd --Zone = Public --DD-Service = polecenie HTTP, gdzie --zone = Zauważ, że taka zmiana będzie ważna tylko w ramach jednej sesji.

Stałe dodatek odbywa się Via Sudo Firewall-Cmd --Zone = public --permanent --dd-service = http, a wynik "sukces" wskazuje pomyślne zakończenie operacji.

Możesz wyświetlić pełną listę trwałych reguł dla określonej strefy, wyświetlając listę w oddzielnej linii konsoli: sudo firewall-cmd --zone = public --permanent - list-usługa.

Problem decyzyjny z brakiem dostępu do usługi

Standardowe reguły zapory są oznaczone najpopularniejszymi i bezpiecznymi usługami jako dozwolone, ale niektóre aplikacje standardowe lub innych firm blokuje. W tym przypadku użytkownik ręcznie musi zmienić ustawienia, aby rozwiązać problem z dostępem. Możesz to zrobić w dwóch różnych metodach.

Ports port.

Wiesz, wszystkie usługi sieciowe korzystają z określonego portu. Jest łatwo wykryty przez zaporę, a bloki można wykonać. Aby uniknąć takich działań z zapory, musisz otworzyć żądany port Sudo firewall-cmd --zone = publiczny - portd-port = 0000 / TCP, gdzie --zone = publiczność to obszar portu, --dd- Port = 0000 / TCP - numer portu i protokół. Opcja Firewall-Cmd - List-Ports wyświetli listę otwartych portów.

Jeśli potrzebujesz otwierania portów zawartych w zasięgu, użyj sudo firewall-cmd String --zone = public --dd-port = 0000-9999 / UDP, gdzie --add-port = 0000-9999 / UDP - Zakres portów i ich protokół.

Powyższe polecenia pozwalają na przetestowanie zastosowania podobnych parametrów. Jeśli przekazał pomyślnie, powinieneś dodać te same porty do stałych ustawień, a to odbywa się przez wejście do Sudo Firewall-Cmd --Zone = publiczne - PerManent --add-port = 0000 / TCP lub Sudo Firewall-Cmd - Zone = Publiczny --Permanent --add-port = 0000-9999 / UDP. Lista otwartych portów stałych jest postrzegany w następujący sposób: sudo firewall-cmd --zone = public --permanentent-list-ports.

Definicja usługi

Jak widać, dodanie portów nie powoduje żadnych trudności, ale procedura jest skomplikowana, gdy aplikacje wykorzystują dużą ilość. Aby śledzić wszystkie używane porty staje się trudne, z uwagi na to, do której określenie usługi będzie bardziej poprawne:

1. Skopiuj plik konfiguracyjny przez pisanie sudo cp /usr/lib/firelewld/services/service.xml /etc/firewald/services/example.xml, gdzie serwis.xml jest nazwą pliku serwisowego, a przykład.xml jest Nazwa jego kopii.



2. Otwórz kopię, aby zmienić za pomocą dowolnego edytora tekstu, na przykład sudo nano /etc/firewalld/services/example.xml.



3. Na przykład utworzyliśmy kopię usługi HTTP. W dokumencie, w zasadzie widać różne metadane, na przykład krótkie imię i opis. Wpływa na serwer, aby pracować tylko zmianę numeru portu i protokołu. Powyżej ciągu "" należy dodać, aby otworzyć port. TCP - używany protokół, 0000 - numer portu.



4. Zapisz wszystkie zmiany (Ctrl + O), zamknij plik (Ctrl + X), a następnie uruchom ponownie zaporę, aby zastosować parametry za pośrednictwem Sudo Firewall-Cmd --Reload. Następnie usługa pojawi się na liście dostępnych, które można oglądać za pośrednictwem Firewall-Cmd-Services.

Musisz wybrać najbardziej odpowiednie rozwiązanie problemu serwisowego z dostępem do usługi i wykonać podane instrukcje. Jak widać, wszystkie działania są wykonywane dość łatwo, a nie powinno być trudności.

Tworzenie niestandardowych stref

Wiesz już, że w pierwszej liczbie różnorodnych stref o określonych zasadach został utworzony w Firewalld. Jednak sytuacje występują, gdy administrator systemu musi utworzyć strefę użytkownika, taki jak "PublicWeb" dla zainstalowanego serwera WWW lub "Privationns" - dla serwera DNS. Na tych dwóch przykładach przeanalizujemy dodatek oddziałów:

1. Utwórz dwie nowe strefy stałych Sudo Firewall-Cmd - PerManent --New-Zone = PublicWeb i Sudo Firewall-Cmd --Permanent --New-Zone = Privatedns.



2. Będą dostępni po ponownym uruchomieniu narzędzia Sudo Firewall-Cmd. Aby wyświetlić strefy stałych, wprowadź strefy sudo firewall-cmd - strefy.



3. Przypisz im niezbędne usługi, takie jak "ssh", "http" i "https". Są one wykonane przez Sudo Firewall-Cmd --Zone = PublicWeb - Service = SSH, Sudo Firewall-Cmd --Zone = PublicWeb --do-Service = PublicWeb - CDO Firewall-Cmd - PublicWeb - PublicWeb - Dodaj - Serwis = HTTPS, gdzie --zone = PublicWeb ma nazwę strefy do dodania. Możesz przeglądać działalność usług, w oczekiwaniu na Firewall-Cmd --Zone = PublicWeb - List-All.

Z tego artykułu dowiedziałeś się, jak tworzyć niestandardowe strefy i dodawać do nich usługi. Powiedzieliśmy im jako domyślne i przypisujące interfejsy powyżej, można określić tylko poprawne nazwy. Nie zapomnij ponownie uruchomić zaporę po dokonaniu stałej zmiany.

Jak widać, Firewalld Firewall jest dość objętościowym narzędziem, który umożliwia wykonanie najbardziej elastycznej konfiguracji zaporę. Pozostaje tylko upewnić się, że narzędzie uruchamianie z systemem i określone reguły natychmiast rozpoczęły pracę. Zrób go za pomocą polecenia Sudo Systemctl.