Руководство по настройке Firewalld в CentOS — подробные инструкции для начинающих

В современном мире сетевая безопасность становится все более важной составляющей для защиты компьютерных систем от различных угроз. Опытные администраторы знают, что правильная конфигурация брандмауэра является неотъемлемой частью защиты серверов и рабочих станций. В этом руководстве мы рассмотрим установку и настройку Firewalld в CentOS, позволяющую контролировать трафик, проходящий через различные сетевые интерфейсы и манипулировать правилами безопасности с помощью простых команд и утилит.

Firewalld представляет собой утилиту для управления брандмауэром в различных дистрибутивах Linux, таких как CentOS и Ubuntu. С помощью этого инструмента администраторы могут определять различные зоны безопасности для сетей и интерфейсов, блокировать или разрешать трафик в зависимости от заданных правил. Он поддерживает как статическую, так и динамическую настройку правил, что позволяет изменять конфигурацию «на лету» без необходимости перезапуска процесса.

Прежде чем приступать к конфигурации, важно понять основные понятия и возможности Firewalld. К примеру, зоны определяют области безопасности, к которым применяются различные правила. Каждая зона может иметь свои уникальные настройки безопасности для различных типов сетей или интерфейсов, таких как ens36 или другие сетевые подключения.

В случае необходимости изменения правил для определенных сервисов или приложений, Firewalld предоставляет гибкие инструменты для разрешения доступа к определенным портам (port) или протоколам (protocol). Вы можете даже настроить forward-ports для перенаправления трафика на другие сервера в сети или заблокировать исходящие соединения для повышения безопасности вашей инфраструктуры.

Основы настройки Firewalld в CentOS

Для начала работы необходимо определить, какая зона будет использоваться для вашего сетевого интерфейса. В данном примере используется интерфейс ens36. Чтобы указать его принадлежность к конкретной зоне, используем следующую команду:

sudo firewall-cmd --zone=public --change-interface=ens36

Зоны представляют собой логические сегменты, в которых определены правила для входящего и исходящего трафика. Например, чтобы разрешить трафик для службы sshd в зоне home, требуется выполнить команду:

sudo firewall-cmd --zone=home --add-service=sshd

Для применения изменений без перезапуска сервера используем ключ —reload:

sudo firewall-cmd --reload

В случае если требуется разрешить трафик на нестандартном порте, например, для веб-сервера на порте 8080, используем следующую команду:

sudo firewall-cmd --zone=public --add-port=8080/tcp

Чтобы проверить текущие настройки и активные зоны, воспользуемся командой:

sudo firewall-cmd --get-active-zones

Дополнительную информацию о текущей конфигурации зоны можно получить командой:

sudo firewall-cmd --zone=public --list-all

В случае необходимости блокировки определенных ICMP пакетов (например, пинг), можно использовать команду:

sudo firewall-cmd --zone=public --add-icmp-block=echo-request

Для управления уровнями логирования и получения статистики по трафику применяется команда:

sudo firewall-cmd --zone=public --query-service=sshd

Также важно уметь управлять таргетами (целями) правил. Например, чтобы установить таргет по умолчанию для зоны, указываем:

sudo firewall-cmd --zone=home --set-target=ACCEPT

Таким образом, правильно настроенные зоны и правила помогут эффективно управлять сетевым трафиком и обеспечить необходимый уровень безопасности сервера.

Установка и активация Firewalld

Для начала установим пакет, содержащий необходимые компоненты. Введите следующую команду:

sudo yum install firewalld

После завершения установки убедимся, что служба активирована и работает. Для этого используйте команду:

sudo systemctl start firewalld

Чтобы удостовериться, что служба включена при старте системы, выполните команду:

sudo systemctl enable firewalld

Теперь, когда служба активирована, можно проверить её статус:

sudo systemctl status firewalld

sudo firewall-cmd --state

Теперь рассмотрим базовые команды управления. Например, чтобы посмотреть активные зоны:

sudo firewall-cmd --get-active-zones

Для получения списка интерфейсов, используемых в каждой зоне, выполните:

sudo firewall-cmd --list-interfaces

Чтобы увидеть все разрешенные протоколы, используйте команду:

sudo firewall-cmd --list-protocols

Также можно посмотреть активные сервисы в сети:

sudo firewall-cmd --list-services

Если необходимо разрешить определенный порт, например 8080/tcp, выполните команду:

sudo firewall-cmd --add-port=8080/tcp --permanent

Для удаления порта используйте команду:

sudo firewall-cmd --remove-port=8080/tcp --permanent

Чтобы изменения вступили в силу, необходимо перезагрузить службу брандмауэра:

sudo firewall-cmd --reload

Теперь посмотрим пример использования rich-rule для более тонкой настройки. Например, разрешим доступ к порту 22/tcp только с определенного IP-адреса:

sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="tcp" port="22" accept'

Все вышеуказанные примеры и команды помогут вам правильно настроить брандмауэр и обеспечить безопасность вашей системы в сетевом окружении. Следуйте этим инструкциям, чтобы защитить свои данные и службы от возможных угроз.

Команда	Описание
sudo yum install firewalld	Установка пакета Firewalld
sudo systemctl start firewalld	Запуск службы Firewalld
sudo systemctl enable firewalld	Включение автозапуска службы
sudo firewall-cmd —state	Проверка состояния службы
sudo firewall-cmd —get-active-zones	Просмотр активных зон
sudo firewall-cmd —list-interfaces	Список интерфейсов в зонах
sudo firewall-cmd —list-protocols	Список разрешенных протоколов
sudo firewall-cmd —list-services	Список разрешенных сервисов
sudo firewall-cmd —add-port=8080/tcp —permanent	Добавление порта 8080/tcp
sudo firewall-cmd —remove-port=8080/tcp —permanent	Удаление порта 8080/tcp
sudo firewall-cmd —reload	Перезагрузка службы для применения изменений

Команды для установки Firewalld

Для эффективного управления сетевой безопасностью на системе, важно уметь правильно устанавливать и настраивать необходимые инструменты. В данном разделе рассмотрим основные команды, которые понадобятся для работы с Firewalld, включая установку, активацию и базовые настройки. Эти команды помогут вам контролировать сетевые зоны, управлять интерфейсами и службами, а также настраивать параметры для входящих и исходящих соединений.

Первым шагом является установка нужного пакета, который позволит использовать все возможности Firewalld. Для этого выполните следующую команду:

sudo yum install firewalld

После успешной установки необходимо запустить и активировать службу, чтобы она всегда работала при старте системы:

sudo systemctl start firewalld

sudo systemctl enable firewalld

Чтобы убедиться, что Firewalld работает правильно, используйте команду:

sudo systemctl status firewalld

Теперь, когда Firewalld запущен, вы можете приступить к настройке зон безопасности. Каждой сети можно назначить свою зону, что позволит более гибко управлять правилами. Для просмотра активных зон используйте:

sudo firewall-cmd --get-active-zones

Предположим, у вас есть интерфейс ens35, который вы хотите назначить зоне work. Выполните следующую команду:

sudo firewall-cmd --zone=work --change-interface=ens35 --permanent

Чтобы изменения вступили в силу, перезагрузите службу:

sudo firewall-cmd --reload

Также можно управлять разрешенными и запрещенными протоколами. Например, для скрытия ICMP-запросов (ping) используйте:

sudo firewall-cmd --zone=work --add-icmp-block=echo-request --permanent

Чтобы просмотреть все текущие настройки зоны, выполните:

sudo firewall-cmd --zone=work --list-all

Помимо основных команд, есть также возможности для создания более сложных и гибких правил. Например, можно разрешить SSH-доступ только в одной зоне:

sudo firewall-cmd --zone=work --add-service=ssh --permanent

Если нужно удалить разрешение для определенного порта, используйте:

sudo firewall-cmd --zone=work --remove-port=22/tcp --permanent

Для управления и мониторинга правил в графическом режиме можете воспользоваться утилитой firewall-config, которая предоставляет расширенные возможности конфигурации.

Эти команды помогут вам более эффективно управлять сетевой безопасностью на вашей системе, создавая и изменяя различные параметры и правила для обеспечения надежной защиты вашей сети.

Запуск и включение службы Firewalld

Запуск службы Firewalld

Для того чтобы запустить службу, используйте утилиту systemctl. Введите следующую команду:

sudo systemctl start firewalld

Эта команда инициализирует работу брандмауэра на вашем компьютере. После выполнения команды можно проверить статус службы с помощью следующей команды:

sudo systemctl status firewalld

Включение службы Firewalld при загрузке

Для того чтобы служба автоматически запускалась при старте системы, используйте команду:

sudo systemctl enable firewalld

Теперь брандмауэр будет включаться автоматически при каждой загрузке вашего компьютера.

Проверка активных зон и интерфейсов

Чтобы получить информацию о текущих активных зонах, используйте команду:

sudo firewall-cmd --get-active-zones

Посмотреть список интерфейсов, связанных с определенной зоной, можно с помощью команды:

sudo firewall-cmd --zone=public --list-interfaces

Настройка зон и протоколов

Предположим, вы хотите создать новую зону для определенного набора правил. Это можно сделать так:

sudo firewall-cmd --new-zone=myzone --permanent

После этого, чтобы разрешить трафик через нестандартный порт или протокол, используйте команду:

sudo firewall-cmd --zone=myzone --add-port=12345/tcp --permanent

Вы также можете посмотреть список всех разрешенных протоколов в текущей зоне с помощью команды:

sudo firewall-cmd --zone=myzone --list-protocols

Блокировка и управление доступом

Если нужно заблокировать доступ к определенному ip-адресу, используйте опцию:

sudo firewall-cmd --zone=block --add-source=192.168.1.100 --permanent

Теперь трафик от этого ip-адреса будет заблокирован. Вы можете использовать различные зоны для управления доступом и уровнем безопасности вашей сети.

Применение и перезагрузка конфигурации

Все изменения, сделанные с ключом —permanent, вступят в силу после перезагрузки брандмауэра:

sudo firewall-cmd --reload

Таким образом, можно настроить и управлять правилами доступа, обеспечивая безопасность вашего компьютера и сети.

Основные концепции и зоны Firewalld

В этой части мы обсудим ключевые принципы и зоны, используемые в работе с современным брандмауэром. Понимание этих концепций поможет вам лучше управлять безопасностью сети вашего компьютера, контролируя входящие и исходящие потоки данных.

Зоны – это важный элемент конфигурации, позволяющий более гибко управлять сетевыми правилами. Каждая зона имеет свой набор правил и уровень безопасности. Например, зона public может использоваться для общедоступных сетей, предоставляя умеренный уровень безопасности, тогда как зона home предназначена для домашних сетей с более строгими правилами.

Чтобы узнать, какие зоны активны на вашем компьютере, используйте команду:

firewall-cmd --get-active-zones

Для отображения интерфейсов, присоединенных к определенной зоне, выполните:

firewall-cmd --zone=home --list-interfaces

При добавлении нового интерфейса к зоне, например ens35, используйте команду:

firewall-cmd --zone=home --add-interface=ens35

Каждая зона поддерживает различные службы, такие как http и sshd. Эти службы можно добавлять и удалять по мере необходимости. Например, чтобы включить службу http, используйте команду:

firewall-cmd --zone=home --add-service=http

Для просмотра всех служб, доступных в конкретной зоне, выполните:

firewall-cmd --zone=home --list-services

Иногда требуется изменить порт для нестандартного использования, например, служба mdns на другом порте:

firewall-cmd --zone=home --add-port=5353/udp

Брандмауэр позволяет создавать rich rules, что дает больше гибкости в настройке правил. Например, для перенаправления портов (forward-ports) или создания сложных правил (rich-rule), используйте соответствующие команды:

firewall-cmd --zone=home --add-forward-port=port=80:proto=tcp:toport=8080

Если требуется создать новую зону с уникальными правилами, выполните:

firewall-cmd --new-zone=newzone

После внесения изменений рекомендуется перезапуск службы, чтобы применить новую конфигурацию:

systemctl restart firewalld

Помните, что правильная настройка брандмауэра – это залог безопасности вашей сети. Регулярно проверяйте активные правила и при необходимости корректируйте их.

Что такое зоны и как их использовать

Использование зон позволяет администратору гибко управлять доступом и защитой сетевого трафика в зависимости от различных условий и требований. Посмотрим на основные зоны и их типичные применения:

Название зоны	Описание	Типичные случаи использования
internal	Эта зона предназначена для внутренних сетей, которым можно доверять. Сетевые интерфейсы, добавленные в эту зону, получают больше прав доступа.	Используйте для локальных сетей внутри организации, где требования к безопасности ниже.
external	Зона для внешних сетей. Здесь обычно применяются более строгие правила для защиты от потенциальных угроз из интернета.	Применяется к интерфейсам, подключенным к интернету или другим незащищенным сетям.
dmz	Зона демилитаризованной зоны, предназначенная для размещения общедоступных серверов. Правила позволяют доступ к публичным сервисам, но ограничивают остальное взаимодействие.	Подходит для веб-серверов, почтовых серверов и других публично доступных служб.
public	Эта зона используется для публичных сетей, к которым необходимо применять умеренные меры безопасности.	Используйте для Wi-Fi в общественных местах или гостевых сетей.

Чтобы применить зону к интерфейсу или источнику, используйте команды командной строки. Например, для назначения зоны «internal» интерфейсу ens36, выполните:

firewall-cmd --zone=internal --change-interface=ens36 --permanent

В командной строке --zone указывает зону, --change-interface указывает сетевой интерфейс, а --permanent задает постоянное изменение конфигурации брандмауэра.

Для временного изменения конфигурации без перезапуска брандмауэра используйте опцию --runtime-to-permanent:

firewall-cmd --runtime-to-permanent

Важно учитывать, что добавление сервисов, портов или протоколов в разные зоны должно быть сделано с пониманием требований безопасности. Например, чтобы разрешить службу SSH в зоне «public», выполните команду:

firewall-cmd --zone=public --add-service=ssh --permanent

Используйте firewall-cmd --list-all, чтобы проверить текущую конфигурацию зоны:

firewall-cmd --zone=public --list-all

Помимо добавления сервисов, можно настроить правила доступа, icmp-blocks, target и другие параметры. Для получения списка поддерживаемых команд и параметров обратитесь к документации с помощью команды:

firewall-cmd --help

Зоны обеспечивают мощный способ управления сетевыми интерфейсами и источниками, обеспечивая высокий уровень безопасности и гибкости. Опытные администраторы могут использовать эти возможности для создания эффективной и надежной конфигурации сетевого брандмауэра.

Назначение интерфейсов и служб зонам

Основные понятия и подготовка

Прежде чем приступить к распределению интерфейсов и служб, важно понять, что зоны представляют собой различные уровни доверия для входящих соединений. Например, зона block блокирует все входящие соединения, кроме тех, что явно разрешены, а зона internal используется для внутренних сетей с более высоким уровнем доверия.

Назначение интерфейсов зонам

Для назначения интерфейса к определенной зоне, используется команда firewall-cmd. Например, чтобы назначить интерфейс ens35 зоне home, выполните следующую команду в терминале:

firewall-cmd --zone=home --change-interface=ens35 --permanent

Затем требуется перезапустить брандмауэр для применения изменений:

firewall-cmd --reload

Чтобы посмотреть текущие настройки интерфейсов, используйте команду:

firewall-cmd --get-active-interfaces

Назначение служб зонам

Для управления доступом к службам, необходимо их распределение по зонам. Например, для разрешения службы ssh (sshd) в зоне home, выполните:

firewall-cmd --zone=home --add-service=ssh --permanent

Для просмотра текущих разрешенных служб в конкретной зоне, используйте:

firewall-cmd --zone=home --list-services

Работа с источниками и правилами

В некоторых случаях может потребоваться указание конкретных источников (IP-адресов или сетей), для которых будут применяться правила зоны. Это можно сделать следующим образом:

firewall-cmd --zone=home --add-source=192.168.1.0/24 --permanent

Для удаления источника используйте команду:

firewall-cmd --zone=home --remove-source=192.168.1.0/24 --permanent

Продвинутые настройки и просмотр статистики

Опытные пользователи могут также управлять правилами постмаршрутизации (postrouting) и настраивать параметры для скрытия (masquerading). Например, для включения скрытия в зоне home, выполните:

firewall-cmd --zone=home --add-masquerade --permanent

Чтобы посмотреть статистику использования брандмауэра, можно воспользоваться командой:

firewall-cmd --zone=home --query-masquerade

Пример настройки с использованием команд

Посмотрим на примере, как распределить интерфейсы и службы для зоны internal:

1. Назначаем интерфейс ens35 зоне internal:

firewall-cmd --zone=internal --change-interface=ens35 --permanent

2. Разрешаем службы mdns и syslog:

firewall-cmd --zone=internal --add-service=mdns --permanent
firewall-cmd --zone=internal --add-service=syslog --permanent

3. Перезагружаем брандмауэр:

firewall-cmd --reload

Теперь интерфейс ens35 находится в зоне internal, и службы mdns и syslog разрешены.

Правильное распределение интерфейсов и служб по зонам значительно повышает безопасность и управляемость системы. Используя команды управления, вы можете точно настраивать правила и просматривать текущие настройки, чтобы обеспечить надежную работу вашего брандмауэра.