Come impostare un firewall utilizzando FirewallD su CentOS 7

Introduzione

Firewalld è una soluzione di gestione firewall disponibile per molte distribuzioni Linux che funge da frontend per il sistema di filtraggio dei pacchetti iptables fornito dal kernel Linux. In questa guida, spiegheremo come impostare un firewall per il tuo server e ti mostreremo le basi della gestione del firewall con lo strumento di amministrazione firewall-cmd (se preferisci usare iptables con CentOS, segui questa guida).

Nota: C’è la possibilità che tu stia lavorando con una versione più recente di firewalld di quella disponibile al momento della stesura di questo documento, o che il tuo server sia stato configurato in modo leggermente diverso rispetto al server di esempio utilizzato in questa guida. Pertanto, il comportamento di alcuni dei comandi spiegati in questa guida può variare a seconda della configurazione specifica.

Concetti di base in Firewalld

Prima di iniziare a parlare di come utilizzare effettivamente l’utilità firewall-cmd per gestire la configurazione del firewall, dovremmo familiarizzare con alcuni concetti di base che lo strumento introduce.

Zone

Il demone firewalld gestisce gruppi di regole utilizzando entità chiamate “zone”. Le zone sono fondamentalmente insiemi di regole che dettano quale traffico dovrebbe essere consentito a seconda del livello di fiducia che hai nelle reti a cui è connesso il tuo computer. Alle interfacce di rete viene assegnata una zona per dettare il comportamento che il firewall deve consentire.

Per i computer che potrebbero spostarsi frequentemente tra le reti (come i laptop), questo tipo di flessibilità offre un buon metodo per cambiare le regole a seconda dell’ambiente. Potresti avere regole severe che vietano la maggior parte del traffico quando si opera su una rete WiFi pubblica, consentendo restrizioni più rilassate quando si è connessi alla rete domestica. Per un server, queste zone non sono altrettanto importanti perché l’ambiente di rete raramente, se mai, cambia.

Indipendentemente dalla dinamica dell’ambiente di rete, è comunque utile avere familiarità con l’idea generale alla base di ciascuna delle zone predefinite per firewalld. Nell’ordine da meno attendibile a più attendibile, le zone predefinite all’interno di firewalld sono:

• goccia: Il livello più basso di fiducia. Tutte le connessioni in entrata vengono eliminate senza risposta e sono possibili solo le connessioni in uscita.
• blocco: simile al precedente, ma invece di eliminare semplicemente le connessioni, le richieste in arrivo vengono rifiutate con un messaggio icmp-host-prohibited o icmp6-adm-prohibited.
• pubblico: rappresenta reti pubbliche e non attendibili. Non ti fidi di altri computer, ma potresti consentire connessioni in entrata selezionate caso per caso.
• esterno: Reti esterne nel caso in cui si utilizzi il firewall come gateway. È configurato per il mascheramento NAT in modo che la rete interna rimanga privata ma raggiungibile.
• interno: L’altro lato della zona esterna, utilizzato per la porzione interna di un gateway. I computer sono abbastanza affidabili e alcuni servizi aggiuntivi sono disponibili.
• dmz: utilizzato per computer situati in una DMZ (computer isolati che non avranno accesso al resto della rete). Sono consentite solo alcune connessioni in entrata.
• lavoro: Utilizzato per macchine da lavoro. Fidati della maggior parte dei computer della rete. Alcuni altri servizi potrebbero essere consentiti.
• casa: Un ambiente domestico. In genere implica che ti fidi della maggior parte degli altri computer e che verranno accettati alcuni altri servizi.
• trusted: fiducia di tutte le macchine nella rete. La più aperta delle opzioni disponibili e dovrebbe essere usata con parsimonia.

Per utilizzare il firewall, possiamo creare regole e modificare le proprietà delle nostre zone e quindi assegnare le nostre interfacce di rete a qualsiasi zona sia più appropriata.

Permanenza delle regole

In firewalld, le regole possono essere designate come permanenti o immediate. Se viene aggiunta o modificata una regola, per impostazione predefinita, viene modificato il comportamento del firewall attualmente in esecuzione. Al prossimo avvio, le vecchie regole verranno ripristinate.

La maggior parte delle operazioni firewall-cmd può utilizzare il flag --permanent per indicare che il firewall non effimero deve essere mirato. Ciò influirà sul set di regole che viene ricaricato all’avvio. Questa separazione significa che è possibile testare le regole nell’istanza del firewall attivo e quindi ricaricare se ci sono problemi. È inoltre possibile utilizzare il flag --permanent per creare un intero set di regole nel tempo che verranno applicate tutte contemporaneamente quando viene emesso il comando ricarica.

Installa e abilita l’avvio del firewall

firewalld è installato di default su alcune distribuzioni Linux, incluse molte immagini di CentOS 7. Tuttavia, potrebbe essere necessario installare firewalld da soli:

sudo yum install firewalld

Dopo aver installato firewalld, è possibile abilitare il servizio e riavviare il server. Tieni presente che l’attivazione di firewalld causerà l’avvio del servizio all’avvio. È consigliabile creare le regole del firewall e coglierne l’opportunità per testarle prima di configurare questo comportamento al fine di evitare potenziali problemi.

 
sudo systemctl enable firewalld
 
sudo reboot
 

Al riavvio del server, il firewall deve essere visualizzato, le interfacce di rete devono essere inserite nelle zone configurate (o tornare alla zona predefinita configurata) e tutte le regole associate alle zone verranno applicate alle interfacce associate.

Possiamo verificare che il servizio sia in esecuzione e raggiungibile digitando:

sudo firewall-cmd --state

output
running

Questo indica che il nostro firewall è attivo e funzionante con la configurazione predefinita.

Familiarizzare con le regole del firewall correnti

Prima di iniziare a apportare modifiche, dovremmo familiarizzare con l’ambiente predefinito e le regole fornite dal demone.

Esplorando i valori predefiniti

Possiamo vedere quale zona è attualmente selezionata come predefinita digitando:

firewall-cmd --get-default-zone

output
public

Poiché non abbiamo dato firewalld alcun comando per deviare dalla zona predefinita e nessuna delle nostre interfacce è configurata per legarsi a un’altra zona, quella zona sarà anche l’unica zona “attiva” (la zona che controlla il traffico per le nostre interfacce). Possiamo verificarlo digitando:

firewall-cmd --get-active-zones

output
public interfaces: eth0 eth1

Qui, possiamo vedere che il nostro server di esempio ha due interfacce di rete controllate dal firewall (eth0 e eth1). Sono entrambi attualmente in fase di gestione secondo le regole definite per la zona pubblica.

Come facciamo a sapere quali regole sono associate alla zona pubblica? Possiamo stampare la configurazione della zona predefinita digitando:

sudo firewall-cmd --list-all

output
public (default, active) target: default icmp-block-inversion: no interfaces: eth0 eth1 sources: services: ssh dhcpv6-client ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: 

Possiamo dire dall’output che questa zona è sia predefinita che attiva e che le interfacce eth0 e eth1 sono associate a questa zona (sapevamo già tutto questo dalle nostre precedenti richieste). Tuttavia, possiamo anche vedere che questa zona consente le normali operazioni associate a un client DHCP (per l’assegnazione degli indirizzi IP) e SSH (per l’amministrazione remota).

Esplorare zone alternative

Ora abbiamo una buona idea sulla configurazione per la zona predefinita e attiva. Possiamo trovare informazioni anche su altre zone.

Per ottenere un elenco delle zone disponibili, digitare:

firewall-cmd --get-zones

output
block dmz drop external home internal public trusted work

Possiamo vedere la configurazione specifica associata a una zona includendo il parametro --zone= nel nostro comando --list-all :

sudo firewall-cmd --zone=home --list-all

output
home interfaces: sources: services: dhcpv6-client ipp-client mdns samba-client ssh ports: masquerade: no forward-ports: icmp-blocks: rich rules:

È possibile emettere tutte le definizioni di zona utilizzando l’opzione --list-all-zones. Probabilmente vorrai convogliare l’output in un cercapersone per una visualizzazione più semplice:

sudo firewall-cmd --list-all-zones | less

Selezione delle zone per le interfacce

A meno che non siano state configurate diversamente le interfacce di rete, ogni interfaccia verrà inserita nella zona predefinita all’avvio del firewall.

Modifica della zona di un’interfaccia

È possibile passare un’interfaccia tra le zone durante una sessione utilizzando il parametro --zone= in combinazione con il parametro --change-interface=. Come per tutti i comandi che modificano il firewall, è necessario utilizzare sudo.

Ad esempio, possiamo passare la nostra interfaccia eth0 alla zona “home” digitando questo:

sudo firewall-cmd --zone=home --change-interface=eth0

output
success

Ogni volta che si sta passando un’interfaccia a una nuova zona, tenere presente che probabilmente si stanno modificando i servizi che saranno operativi. Ad esempio, qui ci stiamo spostando nella zona “home”, che ha SSH disponibile. Ciò significa che la nostra connessione non dovrebbe cadere. Alcune altre zone non hanno SSH abilitato per impostazione predefinita e se la connessione viene interrotta durante l’utilizzo di una di queste zone, si potrebbe trovare se stessi in grado di accedere di nuovo.

Possiamo verificare che questo abbia avuto successo chiedendo nuovamente le zone attive:

firewall-cmd --get-active-zones

output
home interfaces: eth0public interfaces: eth1

Regolazione della zona predefinita

Se tutte le interfacce possono essere gestite al meglio da una singola zona, è probabilmente più semplice selezionare la migliore zona predefinita e quindi utilizzarla per la configurazione.

È possibile modificare la zona predefinita con il parametro --set-default-zone=. Questo cambierà immediatamente qualsiasi interfaccia che era caduto di nuovo sul default per la nuova zona:

sudo firewall-cmd --set-default-zone=home 

output
success

Impostazione delle regole per le tue applicazioni

Il modo di base per definire le eccezioni del firewall per i servizi che desideri rendere disponibili è semplice. Correremo attraverso l’idea di base qui.

Aggiunta di un servizio alle zone

Il metodo più semplice consiste nell’aggiungere i servizi o le porte necessarie alle zone che si stanno utilizzando. Ancora una volta, è possibile ottenere un elenco dei servizi disponibili con l’opzione --get-services :

firewall-cmd --get-services

output
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server

È possibile ottenere maggiori dettagli su ciascuno di questi servizi guardando il file .xml associato all’interno della directory /usr/lib/firewalld/services. Ad esempio, il servizio SSH è definito in questo modo:

<?xml version="1.0" encoding="utf-8"?><service> <short>SSH</short> <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description> <port protocol="tcp" port="22"/></service>

È possibile abilitare un servizio per una zona utilizzando il parametro --add-service=. L’operazione avrà come target la zona predefinita o qualsiasi zona specificata dal parametro --zone=. Per impostazione predefinita, questo regolerà solo la sessione del firewall corrente. È possibile regolare la configurazione del firewall permanente includendo il flag --permanent.

Ad esempio, se stiamo eseguendo un server Web che serve traffico HTTP convenzionale, possiamo consentire questo traffico per le interfacce nella nostra zona “pubblica” per questa sessione digitando:

sudo firewall-cmd --zone=public --add-service=http

È possibile escludere --zone= se si desidera modificare la zona predefinita. Possiamo verificare che l’operazione abbia avuto successo utilizzando le operazioni --list-all o --list-services :

sudo firewall-cmd --zone=public --list-services

output
dhcpv6-client http ssh

Una volta che hai testato che tutto funziona come dovrebbe, probabilmente vorrai modificare le regole del firewall permanente in modo che il tuo servizio sia ancora disponibile dopo un riavvio. Possiamo rendere permanente il nostro cambiamento di zona” pubblica ” digitando:

sudo firewall-cmd --zone=public --permanent --add-service=http

output
success

È possibile verificare che l’operazione sia andata a buon fine aggiungendo il flag --permanent all’operazione --list-services. È necessario utilizzare sudo per qualsiasi operazione --permanent :

sudo firewall-cmd --zone=public --permanent --list-services

output
dhcpv6-client http ssh

La tua zona “pubblica” ora consentirà il traffico Web HTTP sulla porta 80. Se il tuo server Web è configurato per utilizzare SSL / TLS, dovrai anche aggiungere il servizio https. Possiamo aggiungerlo alla sessione corrente e alla regola permanente impostata digitando:

 
sudo firewall-cmd --zone=public --add-service=https
 
sudo firewall-cmd --zone=public --permanent --add-service=https
 

Cosa succede se non è disponibile alcun servizio appropriato?

I servizi firewall inclusi nell’installazione di firewalld rappresentano molti dei requisiti più comuni per le applicazioni a cui si desidera consentire l’accesso. Tuttavia, ci saranno probabilmente scenari in cui questi servizi non si adattano alle tue esigenze.

In questa situazione, hai due opzioni.

Apertura di una porta per le tue zone

Il modo più semplice per aggiungere il supporto per la tua applicazione specifica è aprire le porte che utilizza nelle zone appropriate. Questo è facile come specificare la porta o l’intervallo di porte e il protocollo associato per le porte che è necessario aprire.

Ad esempio, se la nostra applicazione gira sulla porta 5000 e usa TCP, potremmo aggiungerlo alla zona “pubblica” per questa sessione usando il parametro --add-port=. I protocolli possono essere tcp o udp:

sudo firewall-cmd --zone=public --add-port=5000/tcp

output
success

Possiamo verificare che questo ha avuto successo utilizzando l’operazione --list-ports :

sudo firewall-cmd --zone=public --list-ports

output
5000/tcp

È anche possibile specificare un intervallo sequenziale di porte separando la porta iniziale e quella finale nell’intervallo con un trattino. Ad esempio, se la nostra applicazione utilizza le porte UDP da 4990 a 4999, potremmo aprirle su “pubblico” digitando:

sudo firewall-cmd --zone=public --add-port=4990-4999/udp

Dopo il test, probabilmente vorremmo aggiungerli al firewall permanente. Puoi farlo digitando:

 
sudo firewall-cmd --zone=public --permanent --add-port=5000/tcp
 
sudo firewall-cmd --zone=public --permanent --add-port=4990-4999/udp
 
sudo firewall-cmd --zone=public --permanent --list-ports
 

output
successsuccess5000/tcp 4990-4999/udp

Definire un servizio

Aprire le porte per le tue zone è facile, ma può essere difficile tenere traccia di ciò a cui ciascuno è destinato. Se hai mai disattivato un servizio sul tuo server, potresti avere difficoltà a ricordare quali porte che sono state aperte sono ancora necessarie. Per evitare questa situazione, è possibile definire un servizio.

I servizi sono semplicemente raccolte di porte con un nome e una descrizione associati. L’utilizzo dei servizi è più facile da amministrare rispetto alle porte, ma richiede un po ‘ di lavoro iniziale. Il modo più semplice per iniziare è copiare uno script esistente (trovato in /usr/lib/firewalld/services) nella directory /etc/firewalld/services in cui il firewall cerca definizioni non standard.

Ad esempio, potremmo copiare la definizione del servizio SSH da utilizzare per la nostra definizione di servizio “esempio” come questa. Il nome del file meno il suffisso .xml detterà il nome del servizio all’interno dell’elenco dei servizi firewall:

sudo cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/example.xml

Ora, è possibile regolare la definizione trovata nel file copiato:

sudo vi /etc/firewalld/services/example.xml

Per iniziare, il file conterrà la definizione SSH che hai copiato:

<?xml version="1.0" encoding="utf-8"?><service> <short>SSH</short> <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description> <port protocol="tcp" port="22"/></service>

La maggior parte di questa definizione è in realtà metadati. Si desidera modificare il nome breve per il servizio all’interno dei tag <short>. Questo è un nome leggibile per il tuo servizio. Dovresti anche aggiungere una descrizione in modo da avere più informazioni se hai bisogno di controllare il servizio. L’unica configurazione che devi fare che influisce effettivamente sulla funzionalità del servizio sarà probabilmente la definizione della porta in cui identifichi il numero di porta e il protocollo che desideri aprire. Questo può essere specificato più volte.

Per il nostro servizio “esempio”, immagina di dover aprire la porta 7777 per TCP e 8888 per UDP. Inserendo la modalità di inserimento premendo i, possiamo modificare la definizione esistente con qualcosa del genere:

<?xml version="1.0" encoding="utf-8"?><service> <short>Example Service</short> <description>This is just an example service. It probably shouldn't be used on a real system.</description> <port protocol="tcp" port="7777"/> <port protocol="udp" port="8888"/></service>

Premere ESC, quindi immettere :x per salvare e chiudere il file.

Ricarica il firewall per accedere al nuovo servizio:

sudo firewall-cmd --reload

Puoi vedere che ora è tra l’elenco dei servizi disponibili:

firewall-cmd --get-services

output
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch example freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server

Ora puoi utilizzare questo servizio nelle tue zone come faresti normalmente.

Creare le proprie zone

Mentre le zone predefinite saranno probabilmente più che sufficienti per la maggior parte degli utenti, può essere utile definire le proprie zone che sono più descrittive della loro funzione.

Ad esempio, potresti voler creare una zona per il tuo server Web, chiamata “publicweb”. Tuttavia, si potrebbe desiderare di avere un’altra zona configurata per il servizio DNS fornito sulla rete privata. Si potrebbe desiderare una zona chiamata “privateDNS” per questo.

Quando si aggiunge una zona, è necessario aggiungerla alla configurazione del firewall permanente. È quindi possibile ricaricare per portare la configurazione nella sessione in esecuzione. Per esempio, potremmo creare due zone di cui abbiamo discusso sopra, digitando:

 
sudo firewall-cmd --permanent --new-zone=publicweb
 
sudo firewall-cmd --permanent --new-zone=privateDNS
 

È possibile verificare che questi siano presenti in permanente di configurazione digitando:

sudo firewall-cmd --permanent --get-zones

output
block dmz drop external home internal privateDNS public publicweb trusted work

Come detto prima, questi non saranno disponibili nell’istanza corrente del firewall di sicurezza:

firewall-cmd --get-zones

output
block dmz drop external home internal public trusted work

Ricaricare il firewall di portare queste nuove zone nella configurazione attiva:

 
sudo firewall-cmd --reload
 
firewall-cmd --get-zones
 

output
block dmz drop external home internal privateDNS public publicweb trusted work

Ora, è possibile iniziare l’assegnazione delle porte e dei servizi per i vostri orari. Di solito è una buona idea regolare l’istanza attiva e quindi trasferire tali modifiche alla configurazione permanente dopo il test. Ad esempio, per la zona “publicweb”, è possibile aggiungere i servizi SSH, HTTP e HTTPS:

 
sudo firewall-cmd --zone=publicweb --add-service=ssh
 
sudo firewall-cmd --zone=publicweb --add-service=http
 
sudo firewall-cmd --zone=publicweb --add-service=https
 
sudo firewall-cmd --zone=publicweb --list-all
 

output
publicweb target: default icmp-block-inversion: no interfaces: sources: services: ssh http https ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:

Allo stesso modo, possiamo aggiungere il servizio DNS alla nostra zona” privateDNS”:

 
sudo firewall-cmd --zone=privateDNS --add-service=dns
 
sudo firewall-cmd --zone=privateDNS --list-all
 

output
privateDNS interfaces: sources: services: dns ports: masquerade: no forward-ports: icmp-blocks: rich rules:

Potremmo quindi cambiare le nostre interfacce verso queste nuove zone per testarle:

 
sudo firewall-cmd --zone=publicweb --change-interface=eth0
 
sudo firewall-cmd --zone=privateDNS --change-interface=eth1
 

A questo punto, si ha la possibilità di testare la configurazione. Se questi valori funzionano per te, dovrai aggiungere le stesse regole alla configurazione permanente. È possibile ri-applicare le regole con il --permanent flag:

 
sudo firewall-cmd --zone=publicweb --permanent --add-service=ssh
 
sudo firewall-cmd --zone=publicweb --permanent --add-service=http
 
sudo firewall-cmd --zone=publicweb --permanent --add-service=https
 
sudo firewall-cmd --zone=privateDNS --permanent --add-service=dns
 

Dopo permanentemente l’applicazione di queste regole, è possibile riavviare la rete e ricaricare il servizio firewall:

 
sudo systemctl restart network
 
sudo systemctl reload firewalld
 

verificare che il corretto zone sono stati assegnati:

firewall-cmd --get-active-zones

output
privateDNS interfaces: eth1publicweb interfaces: eth0

E di confermare che i servizi che sono disponibili per entrambe le zone:

sudo firewall-cmd --zone=publicweb --list-services

output
http https ssh

sudo firewall-cmd --zone=privateDNS --list-services

output
dns

Hai impostato correttamente il proprio zone! Se si desidera rendere una di queste zone predefinita per altre interfacce, ricordarsi di configurare tale comportamento con il parametro --set-default-zone= :

sudo firewall-cmd --set-default-zone=publicweb

Conclusione

Ora dovresti avere una buona comprensione di come amministrare il servizio firewalld sul tuo sistema CentOS per l’uso quotidiano.

Il servizio firewalld consente di configurare regole e set di regole gestibili che tengono conto dell’ambiente di rete. Esso consente di transizione senza soluzione di continuità tra le diverse politiche del firewall attraverso l’uso di zone e offre agli amministratori la possibilità di astrarre la gestione delle porte in definizioni di servizio più amichevole. Acquisire una conoscenza operativa di questo sistema ti permetterà di sfruttare la flessibilità e la potenza che questo strumento fornisce.