CentdoS 7-da xavfsizlik devori sozlash

Operatsion tizimda o'rnatilgan xavfsizlik devori kompyuter tarmoqlari orasidagi ruxsatsiz trafikning oldini olish uchun ishlatiladi. Qo'llanma yoki avtomatik ravishda foydalanishni boshqarish uchun javobgar bo'lgan xavfsizlik devori uchun maxsus qoidalarni yaratadi. Linux yadroda ishlab chiqilgan OS Linux yadroda ishlab chiqilgan, o'rnatilgan xavfsizlik devori mavjud va u xavfsizlik devori tomonidan boshqariladi. Odatiy xavfsizlik devori jalb qilingan va biz bugun bu haqda gaplashmoqchimiz.

CentdoS 7-da xavfsizlik devori sozlang

Yuqorida aytib o'tilganidek, 7-sentyabr 7-dagi standart xavfsizlik devori xavfsizlik devori uchun yordamchi dastur tayinlanadi. Shuning uchun xavfsizlik devori sozlamalari ushbu vositaning misolida ko'rib chiqiladi. Siz filtrlash qoidalarini bir xil iPPTPTEDES bilan o'rnatishingiz mumkin, ammo u bir oz farq qiladi. Biz yuqorida ko'rsatilgan havolani bosish orqali siz yuqorida keltirilgan yordam dasturi bilan tanishishni tavsiya etamiz va biz Firewall-ni dehqonchani boshlaymiz.

Agar siz bir marta xavfsizlik devori vaqtincha yoki doimiy ravishda o'chirib qo'ysangiz, biz boshqa maqolada keltirilgan ko'rsatmalardan quyidagi havola orqali foydalanishni maslahat beramiz.

Batafsil: CentdoS 7-da xavfsizlik devori o'chiring

Odatiy qoidalarni va arzon zonalarni ko'rish

Doimiy xavfsizlik devori ham o'ziga xos qoidalar va mavjud bo'lgan zonalarga ega. Siyosatchi tahrirlashdan oldin, biz sizga hozirgi konfiguratsiya bilan tanishishni maslahat beramiz. Bu oddiy buyruqlar yordamida amalga oshiriladi:

1. Odatiy zona xavfsizlik devori-CMD-Defond-Defold-zonom buyrug'ini aniqlaydi.



2. Ulanishdan so'ng, siz kerakli parametr ko'rsatiladigan yangi satrni ko'rasiz. Masalan, "ommaviy" zonasi quyidagi skrinshotda ko'rib chiqiladi.



3. Biroq, bir qator zonalar darhol faol bo'lishi mumkin, bundan tashqari, ular alohida interfeysga bog'langan. Ushbu ma'lumotni Finewall-CMD-faol zonalari orqali bilib oling.



4. Firewall-CMD - Barcha buyruq standart zonasiga belgilangan qoidalarni namoyish etadi. Quyidagi skrinshotga e'tibor bering. Ko'ryapsizmi, "jamoatchilik" zonasi "Standart" qoidasi tayinlangan - standart funktsiya, Enpp0S3 interfeysi va ikkita xizmat qo'shildi.



5. Agar siz barcha mavjud xavfsizlik devori zonalarini o'rganishingiz kerak bo'lsa, xavfsizlik devori-CMD-zonalarini kiriting.



6. Muayyan zona parametrlari Firewall-CMD-CMD -Zone orqali belgilanadi - Ism - nomi - barchasi zonaning nomi bo'lgan joyda.

Kerakli parametrlarni aniqlaganingizdan so'ng, siz ularning o'zgarishi va qo'shimchalariga o'tishingiz mumkin. Keling, eng mashhur konfiguratsiyani batafsil tahlil qilaylik.

Interfeys zonalarini o'rnatish

Yuqoridagi ma'lumotlardan bilib olganingizdek, sizning standart zonangiz har bir interfeys uchun aniqlanadi. Sozlamalar foydalanuvchi yoki dasturiy jihatdan o'zgarguncha u erda bo'ladi. Interfeysni har bir sessiya zonasiga qo'lda o'tkazish mumkin va u sudda Firewall-CMD-CMD-CMD-CMD-Maslahat - Uy qo'mondonligi - ITF0. Natijada "muvaffaqiyat" shuni ko'rsatadiki, pul o'tkazmasi muvaffaqiyatli o'tdi. Afsuski, bunday sozlamalar xavfsizlik devorini qayta yoqilgandan so'ng darhol tiklanadi.

Parametrlar o'zgarishi bilan, xizmatlarning ishlashini qayta tiklashi mumkinligini yodda tutish kerak. Ulardan ba'zilari ba'zi zonalarda ishlashni qo'llab-quvvatlamaydi, deylik, aytishaylik, ssh "uy" da, lekin foydalanuvchi yoki maxsus xizmatda ishlaydi. Interfeys interfeysi Finewall-CMD-faol zonalarga kirish orqali yangi filialga muvaffaqiyatli bog'langanligiga ishonch hosil qiling.

Agar siz ilgari yaratilgan sozlamalarni qayta tiklamoqchi bo'lsangiz, shunchaki xavfsizlik devori qayta ishga tushirilishini boshqaring: Sudo Tee Tee Tee Tee Tee TectionCTTL Firevald.service-ni qayta ishga tushiring.

Ba'zan faqat bitta seansda interfeys zonasini o'zgartirish qulay emas. Bunday holda, siz konfiguratsiya faylini tahrirlashingiz uchun, barcha sozlamalar doimiy ravishda mustahkamlangan. Buning uchun biz sizga "Su" yum instalektori Nanoni o'rnatilgan "SuY-ni o'rnatgan" SuY-ning rasmiy saqlash joyidan o'rnatilgan Nano matn muharriridan foydalanishni maslahat beramiz. Keyingi harakatlar shunday bo'lib qoladi:

1. Mayborlik faylini muharrir orqali SUDO NANO / / SYCONFIG / SCCONFIG / SCARD-Scrits / Scconfig / tarmoq-skripts / tarmoq-skriptlar / IFCFG-EMP0 ga kirish orqali oching, u erda et0 kerakli interfeysning nomi.



2. Qo'shimcha harakatlarni amalga oshirish uchun hisobingizni tasdiqlashni tasdiqlang.



3. "Zon" parametrini tuzish va uning qiymatini istalgan narsaga o'zgartirish, masalan, jamoat yoki uy.



4. O'zgarishlarni saqlash uchun Ctrl + O tugmalarini ushlab turing.



5. Fayl nomini o'zgartirmang, ammo shunchaki kirish tugmachasini bosing.



6. CTRL + X orqali matn muharriridan chiqing.

Endi siz o'zingiz ko'rsatgan narsa va konfiguratsiya faylini keyingi tahrirlashiga qadar interfeys zonasi bo'ladi. Yangilangan parametrlar uchun Sudo Tee Tiecctl Revert Revwarle Network va Sudo Tee SueCittTL kartani qayta ishga tushirish uchun Firevald.servis.

Odatiy zonani o'rnatish

Yuqorida, biz allaqachon standart zonani o'rganishga imkon beradigan jamoani namoyish etdik. Shuningdek, parametrni tanlash orqali o'zgartirilishi mumkin. Buning uchun konsolda sudo firevacal-CMD-CMD-CMD-zonalarini ro'yxatdan o'tkazish kifoya, unda nom kerakli zonaning nomi.

Buyruqning muvaffaqiyati alohida chiziqda "muvaffaqiyat" yozuvi tasdiqlanadi. Shundan so'ng, barcha joriy interfeyslar belgilangan zonada, agar boshqasi konfiguratsiya fayllarida ko'rsatilmasa.

Dasturlar va kommunal xizmatlar uchun qoidalar yaratish

Maqolaning boshida biz har bir zonaning harakati haqida gaplashdik. Bunday tarmoqlarda xizmatlar, kommunal va dasturlarni aniqlash har bir foydalanuvchi so'rovlari uchun har birida shaxsiy parametrlarni qo'llashga imkon beradi. Avvaliga, biz hozirgi kunda mavjud bo'lgan xizmatlarning to'liq ro'yxati bilan tanishishingizni maslahat beramiz: Firewall-CMD - Xizmatlar.

Natijada to'g'ridan-to'g'ri konsolga namoyish etiladi. Har bir server bo'shliqni ajratadi va siz xohlagan vositani osongina topishingiz mumkin. Agar kerakli xizmat etishmayotgan bo'lsa, u qo'shimcha ravishda o'rnatilishi kerak. O'rnatish qoidalarida rasmiy dasturiy hujjatlar hujjatlarida o'qing.

Yuqoridagi buyruq faqat xizmatlarning nomlarini namoyish etadi. Ularning har biri uchun batafsil ma'lumot yo'l / USR / Lib / Firewalld / xizmatlarida shaxsiy fayl orqali olinadi. Bunday hujjatlar XML formatida, masalan, ssh ga o'xshaydi: /usr/lib/firewalld/serthics/ssh.xml, va hujjat quyidagi tarkibga ega:

Ssh.

Xavfsiz qobiq (SSH) - bu chekka mashinalarga kirish va bajaradigan buyruqlar mavjud bo'lgan protokol. Bu shifrlangan aloqani ta'minlaydi. Agar siz Firewalle Interfeys orqali SSH orqali kompyuter raqamingizni olishni rejalashtirmoqchi bo'lsangiz, ushbu parametrni yoqing. Ushbu parametr uchun foydali bo'lishi uchun sizga o'rnatilgan OPENSSSH-SER-SERA PASTURini kerak.

Xizmatni qo'llab-quvvatlash muayyan zonada qo'lda yoqilgan. Terminalda siz sudda Firewall-CMD-Serve = HTTP buyrug'ini sozlashingiz kerak, bu erda - - Jamoat esa aktivatsiya zonasi va - http - xizmat nomi. E'tibor bering, bunday o'zgarish faqat bitta sessiyada amal qiladi.

Doimiy qo'shimcha, sudo fokewall-cmd - by JAMBUS-DASTURE = HTTP va "Muvaffaqiyat" natijani muvaffaqiyatli tugatganidan dalolat beradi.

Siz maxsus zona uchun doimiy zonalarning doimiy ro'yxatini konsolning alohida yo'nalishida qayd etishingiz mumkin: sudo Firewall-CMD-CMD-CMD-CMD - jamoatchilik - jamoatchilik - reklama xizmatlari.

Xizmatga kirishning etishmasligi bilan qaror muammosi

Shaxsiy xavfsizlik devori qoidalariga ruxsat berilgan eng mashhur va xavfsiz xizmatlar bilan ko'rsatilgan, ammo ba'zi standart yoki uchinchi tomon dasturlari tomonidan ko'rsatilgan. Bunday holda, foydalanuvchi muammoni hal qilish uchun sozlamalarni qo'lda o'zgartirish kerak. Buni ikki xil usulda qilishingiz mumkin.

Portlar port

Ma'lumki, barcha tarmoq xizmatlari ma'lum bir portdan foydalanadi. U xavfsizlik devori tomonidan osonlikcha aniqlanadi va bloklarni bajarishi mumkin. Firewall-dan bunday xatti-harakatlarning oldini olish uchun siz sudwall-cmd-cmd-cMD-portni ochishingiz kerak - portd-port = 0000 / TCP, bu erda port maydoni. Port = 0000 / TCP - port raqami va protokol. Firewall-CMD - Ports opsiyasi ochiq portlar ro'yxatini ko'rsatadi.

Agar siz diapazonga kiritilgan portlarni ochish kerak bo'lsa, sudo fokewall-cmd satrini ishlating - Word -d-Port = 0000-9999 / UDP, u erda - port = 0000-9999 / UDP - portlar oralig'i va ularning bayonnomasi.

Yuqoridagi buyruqlar faqat shunga o'xshash parametrlardan foydalanishni sinovdan o'tkazishga imkon beradi. Agar u muvaffaqiyatli o'tgan bo'lsa, siz doimiy sozlamalarga bir xil portlarni qo'shishingiz kerak va bu sudo fokewal-cmd-cmd-cmd-port = 0000 / TCP yoki sudo Firewall-CMD-ga kirish orqali amalga oshiriladi - Zona = ommaviy - jamoatchilik - port = 0000-9999 / UDP. Ochiq doimiy portlar ro'yxati quyidagicha ko'rib chiqiladi: sudo findewall-cmd -zone = jamoatchilik - ochiq -mast-portlar.

Xizmatni aniqlash

Ko'rinib turibdiki, portlarni qo'shish hech qanday qiyinchiliklarga olib kelmaydi, ammo dasturlar ko'p miqdorda foydalanganda protsedura murakkablashadi. Barcha ishlatilgan portlarni kuzatish qiyin bo'ladi, bunda xizmatni aniqlash yanada to'g'ri variant bo'ladi:

1. Konfiguratsiya faylini SUDE CP /Ur/firewalld/Service/service.sercents/service.servems, xizmat faylining nomi va masalani.XML-ning nomi. uning nusxalarini nomi.



2. Har qanday matn muharriri orqali o'zgartirish uchun nusxasini oching, masalan, sudo nano /etc/firewalld/services/example.xml.



3. Masalan, biz HTTP xizmati nusxasini yaratdik. Hujjatda siz asosan turli xil meadatalarni, masalan, qisqa ism va tavsifni ko'rasiz. Bu faqat port raqami va protokolning o'zgarishini faqat serverga ta'sir qiladi. "" Portni ochish uchun "satr ustida. TCP - O0000-port raqamidan foydalanilgan protokol.



4. Barcha o'zgarishlarni saqlang (CTRL + O), faylni yoping (Ctrl + x), so'ngra Sudo Firewall-CMD - CMD-Ede orqali amal qilish uchun parametrlarni qo'llash uchun xavfsizlik devorini qayta ishga tushiring. Shundan so'ng, xizmatni Finewall-CMD-CMD-xizmatlari orqali ko'rish mumkin bo'lgan mavjud bo'lgan ro'yxatda paydo bo'ladi.

Xizmatga kirish va taqdim etilgan ko'rsatmalarni bajarish bilan xizmat muammosi uchun eng mos echimni tanlashingiz kerak. Ko'rinib turibdiki, barcha harakatlar osonlikcha bajariladi va qiyinchiliklar bo'lmasligi kerak.

Maxsus zonalar yaratish

Siz allaqachon bilasizki, dastlab Firewalld-da belgilangan qoidalar bilan turli xil turdagi zonalar yaratilganligini bilasiz. Biroq, tizim ma'muri O'rnatilgan veb-server yoki "XriffedNs" uchun "WordWeb" ni yaratishda, masalan, tizim ma'muri foydalanuvchi zonasini yaratishi kerak bo'lganda, vaziyatlar mavjud. Ushbu ikkita misolda biz filiallarning qo'shilishini tahlil qilamiz:

1. SUDINE Havalliy-CMD-CMD-zona - WordWebe = CMD-CMD-CMD-CMD-CMD-SUVENS = FOYDALANGIME-ni yaratish.



2. Ular sudo fokewal-CMD-CMD - CMD-CMD - CMD - CMD-CMD-vositasini qayta ishga tushiradilar. Doimiy zonalarni namoyish qilish uchun sud fokewall-cmd-cmdent-zonalarini kiriting.



3. "SSH", "http" va "https" kabi zarur xizmatlarni tayinlang. Bular sudo fokewal-cmd - bybyweb-serve-xizmat = ssh, sudo Firewall-CMD-CMD-CMD-CMD-Serveb - WorldWebe-CMD - WellVaweb - CMD - WellVaweb - Qo'shimcha (HTTPS), u erda --zone = BoubleWeb qo'shimcha qilish zonasining nomi. Siz Xizmatlarning faoliyatini Firewall-CMD-CMD -Zone = Bolanveb - Hammasi kutish orqali ko'rishingiz mumkin.

Ushbu maqoladan siz odatdagi zonalarni qanday yaratishni va ularga xizmatlarni qo'shishni o'rgandingiz. Biz allaqachon ularni standart deb aytganmiz va yuqoridagi interfeyslarni tayinlashingizni aytdik, siz faqat to'g'ri nomlarni belgilashingiz mumkin. Har qanday doimiy o'zgarishlarni amalga oshirgandan so'ng, xavfsizlik devorini qayta yoqishni unutmang.

Ko'rinib turibdiki, Firewalld Firewall - bu xavfsizlik devorining eng moslashuvchan konfiguratsiyasini amalga oshirishga imkon beradigan juda og'ir volumetrik vositadir. Bu yordam dasturi tizim bilan ishlashiga ishonch hosil qilish va belgilangan qoidalar o'z ishlarini darhol boshlaydi. Uni sudo sisterttl bilan bog'lang Firewalld buyrug'ini yoqing.