L'accesso a determinate porte viene bloccato o eliminato da firewalld a meno che non venga aggiunto a una zona firewall. Questo post descrive i passaggi per aggiungere sorgente, servizio e porte alle zone firewall nei sistemi CentOS/RHEL 7 e 8.
Aggiunta del servizio alla zona firewall
L'aggiunta di un servizio a una zona è il modo più semplice per configurare il firewall.
– Per consentire l'accesso a un nuovo servizio, utilizza l'opzione del servizio "–aggiungi-servizio".
– Includi il "–permanente ” opzione per rendere la regola persistente tra i riavvii.
Ad esempio, per aggiungere i servizi cockpit, dhcpv6-client, http, https, vnc-server e ssh alla zona interna, utilizzare il comando seguente:
# firewall-cmd --add-service cockpit --zone=internal --permanent # firewall-cmd --add-service dhcpv6-client --zone=internal --permanent # firewall-cmd --add-service http --zone=internal --permanent # firewall-cmd --add-service https --zone=internal --permanent # firewall-cmd --add-service vnc-server --zone=internal --permanent # firewall-cmd --add-service ssh --zone=internal --permanent
Gestisci il traffico in entrata verso una zona in base alla sorgente di traffico
Per consentire il traffico in entrata da un nodo di invio, utilizzare il comando seguente:
# firewall-cmd --add-source=10.1.2.3 --zone=internal --permanent
Gestisci il traffico di rete
– Il traffico di rete attraverso i servizi della zona utilizza le porte di tali servizi.
– Le porte devono essere aperte per accettare il traffico, è possibile aprire porte aggiuntive per l'accesso alla rete specificando il numero di porta e il protocollo associato.
– Usa il "–porta aggiunta ” opzione per consentire l'accesso a porte specifiche. Le porte devono essere specificate utilizzando il formato:numero-porta/tipo-porta.
– I tipi di porta possono essere TCP, udp, sctp o dccp.
– Assicurati che il tipo e il traffico di rete corrispondano.
– Ad esempio, per aggiungere le porte 1522, 7001, 5901, 443 e 80 su TCP e la porta 53 su udp, utilizzare il comando seguente:
# firewall-cmd --zone=internal --add-port=1522/tcp --add-port=7001/tcp --add-port=5901/tcp --add-port=443/tcp --add-port=80/tcp --add-port=53/udp --permanent
Ricarica la configurazione
Dopo aver apportato tutte le modifiche, ricaricare la configurazione in modo che la configurazione permanente corrente diventi la nuova configurazione di runtime.
# firewall-cmd --reload
Elenco configurazione zone
Per elencare tutto ciò che è stato aggiunto o abilitato nella zona "interna", utilizzare il seguente comando:
# firewall-cmd --list-all --zone=internal internal target: default icmp-block-inversion: no interfaces: sources: 10.1.2.3 services: cockpit dhcpv6-client http https ssh vnc-server ports: 1522/tcp 7001/tcp 5901/tcp 443/tcp 80/tcp 53/udp protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: