Hvordan Sette Opp En Brannmur Ved Hjelp Av FirewallD På CentOS 7

Innledning

Firewalld Er en brannmur løsning tilgjengelig for Mange Linux-distribusjoner som fungerer som en frontend for Iptables pakkefiltreringssystem levert Av Linux-kjernen. I denne veiledningen vil vi dekke hvordan du konfigurerer en brannmur for serveren din og vise deg grunnleggende om å administrere brannmuren med administrasjonsverktøyet firewall-cmd (hvis du helst vil bruke iptables Med CentOS, følg denne veiledningen).

Notat: Det er en sjanse for at du kanskje jobber med en nyere versjon av firewalld enn det som var tilgjengelig da dette ble skrevet, eller at serveren din ble satt opp litt annerledes enn eksempelserveren som ble brukt i denne veiledningen. Dermed kan oppførselen til noen av kommandoene som er forklart i denne veiledningen, variere avhengig av din spesifikke konfigurasjon.

Grunnleggende Begreper I Firewalld

Før vi begynner å snakke om hvordan du faktisk bruker verktøyet firewall-cmd til å administrere brannmurkonfigurasjonen, bør vi bli kjent med noen grunnleggende begreper som verktøyet introduserer.

Soner

firewalld daemonen administrerer grupper av regler ved hjelp av enheter kalt «soner». Soner er i utgangspunktet sett med regler som dikterer hvilken trafikk som skal tillates avhengig av nivået på tillit du har i nettverkene datamaskinen er koblet til. Nettverksgrensesnitt er tilordnet en sone for å diktere virkemåten som brannmuren skal tillate.

for datamaskiner som ofte kan bevege seg mellom nettverk (som bærbare datamaskiner), gir denne typen fleksibilitet en god metode for å endre reglene dine, avhengig av miljøet ditt. Du kan ha strenge regler på plass som forbyr mest trafikk når du bruker et offentlig WiFi-nettverk, samtidig som du tillater mer avslappede restriksjoner når du er koblet til hjemmenettverket ditt. For en server er disse sonene ikke så umiddelbart viktige fordi nettverksmiljøet sjelden, om noen gang, endres.

uansett hvor dynamisk nettverksmiljøet ditt kan være, er det likevel nyttig å være kjent med den generelle ideen bak hver av de forhåndsdefinerte sonene for firewalld. I rekkefølge fra minst klarert til mest klarert, er de forhåndsdefinerte sonene innenfor firewalld :

• slipp: Det laveste nivået av tillit. Alle innkommende tilkoblinger er droppet uten svar og bare utgående tilkoblinger er mulig.
• blokker: I Likhet med ovenstående, men i stedet for å bare slippe tilkoblinger, blir innkommende forespørsler avvist med en icmp-host-prohibited eller icmp6-adm-prohibited melding.
• offentlig: Representerer offentlige, uklarerte nettverk. Du stoler ikke på andre datamaskiner, men kan tillate valgte innkommende tilkoblinger fra sak til sak.
• eksternt: Eksterne nettverk hvis du bruker brannmuren som gateway. Den er konfigurert FOR NAT maskert slik at det interne nettverket forblir privat, men nås.
• intern: den andre siden av den eksterne sonen, som brukes for den interne delen av en gateway. Datamaskinene er ganske pålitelig og noen tilleggstjenester er tilgjengelige.
• dmz: Brukes for datamaskiner som ligger i EN DMZ(isolerte datamaskiner som ikke har tilgang til resten av nettverket). Bare visse innkommende tilkoblinger er tillatt.
• arbeid: Brukes til arbeidsmaskiner. Stol på de fleste datamaskiner i nettverket. Noen flere tjenester kan være tillatt.
• hjem: et hjemmemiljø. Det innebærer vanligvis at du stoler på de fleste andre datamaskiner, og at noen flere tjenester vil bli akseptert.
• klarert: Stol på alle maskinene i nettverket. Den mest åpne av de tilgjengelige alternativene og bør brukes sparsomt.

for å bruke brannmuren kan vi opprette regler og endre egenskapene til sonene våre og deretter tilordne nettverksgrensesnittene til de sonene som passer best.

Regelvarighet

i firewalld kan regler betegnes som enten permanente eller umiddelbare. Hvis en regel legges til eller endres, endres oppførselen til brannmuren som kjører som standard. Ved neste oppstart vil de gamle reglene bli tilbakestilt.

de fleste firewall-cmd operasjoner kan ta flagget --permanent for å indikere at den ikke-flyktige brannmuren skal målrettes. Dette vil påvirke regelsettet som lastes på nytt ved oppstart. Denne separasjonen betyr at du kan teste regler i din aktive brannmurforekomst og deretter laste om det er problemer. Du kan også bruke flagget --permanent til å bygge ut et helt sett regler over tid som alle vil bli brukt på en gang når reload-kommandoen er utstedt.

Installer Og Aktiver Brannmuren For Å Starte Ved Oppstart

firewalld er installert som standard på Enkelte Linux-distribusjoner, inkludert mange Bilder Av CentOS 7. Det kan imidlertid være nødvendig for deg å installere firewalld selv:

sudo yum install firewalld

når du har installert firewalld, kan du aktivere tjenesten og starte serveren på nytt. Husk at aktivering av firewalld vil føre til at tjenesten starter opp ved oppstart. Det er best å opprette brannmurregler og benytte anledningen til å teste dem før du konfigurerer denne virkemåten for å unngå potensielle problemer.

 
sudo systemctl enable firewalld
 
sudo reboot
 

når serveren starter på nytt, bør brannmuren hentes opp, nettverksgrensesnittene dine skal settes inn i sonene du konfigurerte (eller falle tilbake til den konfigurerte standardsonen), og eventuelle regler knyttet til sonen(e) vil bli brukt på de tilknyttede grensesnittene.

vi kan bekrefte at tjenesten kjører og kan nås ved å skrive:

sudo firewall-cmd --state

output
running

dette indikerer at brannmuren vår er oppe og går med standardkonfigurasjonen.

Bli Kjent Med Gjeldende Brannmurregler

før vi begynner å gjøre endringer, bør vi gjøre oss kjent med standardmiljøet og reglene som tilbys av demonen.

Utforske Standardene

vi kan se hvilken sone som er valgt som standard ved å skrive:

firewall-cmd --get-default-zone

output
public

Siden vi ikke har gitt firewalld noen kommandoer for å avvike fra standardsonen, og ingen av grensesnittene våre er konfigurert til å binde seg til en annen sone, vil den sonen også være den eneste» aktive » sonen (sonen som styrer trafikken for grensesnittene våre). Vi kan bekrefte at ved å skrive:

firewall-cmd --get-active-zones

output
public interfaces: eth0 eth1

her kan vi se at vår eksempelserver har to nettverksgrensesnitt som styres av brannmuren (eth0 og eth1). De blir begge forvaltet i henhold til reglene som er definert for den offentlige sonen.

hvordan vet vi hvilke regler som er knyttet til den offentlige sonen skjønt? Vi kan skrive ut standardsonen konfigurasjon ved å skrive:

sudo firewall-cmd --list-all

output
public (default, active) target: default icmp-block-inversion: no interfaces: eth0 eth1 sources: services: ssh dhcpv6-client ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: 

vi kan fortelle fra utgangen at denne sonen er både standard og aktiv, og at grensesnittene eth0 og eth1 er knyttet til denne sonen (vi visste allerede alt dette fra våre tidligere henvendelser). Vi kan imidlertid også se at denne sonen tillater normale operasjoner knyttet TIL EN DHCP-klient (FOR IP-adressetilordning) og SSH (for ekstern administrasjon).

Utforske Alternative Soner

Nå har Vi en god ide om konfigurasjonen for standard og aktiv sone. Vi kan også finne informasjon om andre soner.

for å få en liste over tilgjengelige soner, skriv inn:

firewall-cmd --get-zones

output
block dmz drop external home internal public trusted work

Vi kan se den spesifikke konfigurasjonen knyttet til en sone ved å inkludere parameteren --zone= i kommandoen --list-all :

sudo firewall-cmd --zone=home --list-all

output
home interfaces: sources: services: dhcpv6-client ipp-client mdns samba-client ssh ports: masquerade: no forward-ports: icmp-blocks: rich rules:

du kan skrive ut alle sonedefinisjonene ved å bruke alternativet --list-all-zones. Du vil sannsynligvis ønske å pipe utgangen til en personsøker for enklere visning:

sudo firewall-cmd --list-all-zones | less

Velge Soner For Grensesnittene Dine

med Mindre du har konfigurert nettverksgrensesnittene ellers, blir hvert grensesnitt satt i standardsonen når brannmuren startes.

Endre Sonen I Et Grensesnitt

du kan overføre et grensesnitt mellom soner under en økt ved å bruke parameteren --zone= i kombinasjon med parameteren --change-interface=. Som med alle kommandoer som endrer brannmuren, må du bruke sudo.

for eksempel kan vi overføre vårt eth0 grensesnitt til» hjem » – sonen ved å skrive dette:

sudo firewall-cmd --zone=home --change-interface=eth0

output
success

når du overfører et grensesnitt Til en ny sone, må du være oppmerksom På at du sannsynligvis endrer tjenestene som skal være i drift. For eksempel, her flytter vi til» hjem » sonen, som HAR SSH tilgjengelig. Dette betyr at vår forbindelse ikke skal falle. Noen andre soner har IKKE SSH aktivert som standard, og hvis tilkoblingen din blir droppet mens du bruker en av disse sonene, kan du finne deg selv ute av stand til å logge på igjen.

vi kan bekrefte at dette var vellykket ved å be om de aktive sonene igjen:

firewall-cmd --get-active-zones

output
home interfaces: eth0public interfaces: eth1

Justere Standardsonen

hvis alle grensesnittene dine best kan håndteres av en enkelt sone, er det sannsynligvis lettere å bare velge den beste standardsonen og deretter bruke den til konfigurasjonen.

du kan endre standardsonen med parameteren --set-default-zone=. Dette vil umiddelbart endre alle grensesnitt som hadde falt tilbake på standard til den nye sonen:

sudo firewall-cmd --set-default-zone=home 

output
success

Sette Regler For Programmene

den grunnleggende måten å definere brannmur unntak for tjenestene du ønsker å gjøre tilgjengelig er enkelt. Vi går gjennom den grunnleggende ideen her.

Legge Til En Tjeneste I Sonene Dine

den enkleste metoden er å legge til tjenestene eller portene du trenger i sonene du bruker. Igjen kan du få en liste over tilgjengelige tjenester med alternativet --get-services :

firewall-cmd --get-services

output
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server

du kan få mer informasjon om hver av disse tjenestene ved å se på den tilknyttede .xml – filen i /usr/lib/firewalld/services – katalogen . FOR eksempel ER SSH-tjenesten definert slik:

<?xml version="1.0" encoding="utf-8"?><service> <short>SSH</short> <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description> <port protocol="tcp" port="22"/></service>

du kan aktivere en tjeneste for en sone ved hjelp av parameteren --add-service=. Operasjonen vil målrette mot standardsonen eller hvilken sone som er spesifisert av parameteren --zone=. Som standard vil dette bare justere gjeldende brannmurøkt. Du kan justere den permanente brannmurkonfigurasjonen ved å inkludere flagget --permanent.

for eksempel, hvis vi kjører en webserver som serverer konvensjonell HTTP-trafikk, kan vi tillate denne trafikken for grensesnitt i vår» offentlige » sone for denne økten ved å skrive:

sudo firewall-cmd --zone=public --add-service=http

du kan utelate --zone= hvis du ønsker å endre standardsonen. Vi kan bekrefte at operasjonen var vellykket ved å bruke operasjonene --list-all eller --list-services :

sudo firewall-cmd --zone=public --list-services

output
dhcpv6-client http ssh

Når du har testet at alt fungerer som det skal, vil du sannsynligvis endre de permanente brannmurreglene slik at tjenesten din fortsatt vil være tilgjengelig etter en omstart. Vi kan gjøre vår» offentlige » sone endring permanent ved å skrive:

sudo firewall-cmd --zone=public --permanent --add-service=http

output
success

du kan kontrollere at dette var vellykket ved å legge til flagget --permanent i operasjonen --list-services. Du må bruke sudo for alle --permanent operasjoner:

sudo firewall-cmd --zone=public --permanent --list-services

output
dhcpv6-client http ssh

din» offentlige » sone vil nå tillate HTTP web-trafikk på port 80. Hvis webserveren din er konfigurert TIL Å bruke SSL / TLS, vil du også legge til https – tjenesten. Vi kan legge til det i den nåværende økten og det permanente regelsettet ved å skrive:

 
sudo firewall-cmd --zone=public --add-service=https
 
sudo firewall-cmd --zone=public --permanent --add-service=https
 

Hva Om Ingen Passende Tjeneste Er Tilgjengelig?

brannmurtjenestene som følger med firewalld-installasjonen, representerer mange av de vanligste kravene til programmer som du kanskje ønsker å gi tilgang til. Det vil imidlertid trolig være scenarier der disse tjenestene ikke passer dine behov.

i dette tilfellet har du to alternativer.

Åpne En Port For Sonene Dine

den enkleste måten å legge til støtte for ditt spesifikke program er å åpne portene som den bruker i den aktuelle sonen(e). Dette er like enkelt som å spesifisere porten eller portområdet, og den tilhørende protokollen for portene du må åpne.

for eksempel, hvis programmet kjører på port 5000 og bruker TCP, kan vi legge dette til «offentlig» sone for denne økten ved hjelp av parameteren --add-port=. Protokoller kan enten være tcp eller udp:

sudo firewall-cmd --zone=public --add-port=5000/tcp

output
success

Vi kan bekrefte at dette var vellykket ved hjelp av operasjonen --list-ports :

sudo firewall-cmd --zone=public --list-ports

output
5000/tcp

det er også mulig å spesifisere et sekvensielt utvalg av porter ved å skille begynnelsen og sluttporten i området med et dash. For eksempel, hvis vår søknad bruker UDP-porter 4990 til 4999, kan vi åpne disse på «offentlig» ved å skrive:

sudo firewall-cmd --zone=public --add-port=4990-4999/udp

Etter testing vil vi sannsynligvis legge til disse i den permanente brannmuren. Du kan gjøre det ved å skrive:

 
sudo firewall-cmd --zone=public --permanent --add-port=5000/tcp
 
sudo firewall-cmd --zone=public --permanent --add-port=4990-4999/udp
 
sudo firewall-cmd --zone=public --permanent --list-ports
 

output
successsuccess5000/tcp 4990-4999/udp

Det Er enkelt Å Definere En Tjeneste

Å Åpne porter for sonene dine, men det kan være vanskelig å holde oversikt over hva hver enkelt er for. Hvis du noen gang decommission en tjeneste på serveren din, kan du ha en hard tid å huske hvilke porter som har blitt åpnet er fortsatt nødvendig. For å unngå denne situasjonen er det mulig å definere en tjeneste.

Tjenester er ganske enkelt samlinger av porter med tilhørende navn og beskrivelse. Bruke tjenester er enklere å administrere enn porter, men krever litt forhånd arbeid. Den enkleste måten å starte er å kopiere et eksisterende skript (funnet i /usr/lib/firewalld/services) til katalogen /etc/firewalld/services der brannmuren ser etter ikke-standarddefinisjoner.

for eksempel kan VI kopiere SSH-tjenestedefinisjonen til bruk for vår» eksempel » tjenestedefinisjon som dette. Filnavnet minus suffikset .xml dikterer navnet på tjenesten i brannmurtjenestelisten:

sudo cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/example.xml

Nå kan du justere definisjonen som finnes i filen du kopierte:

sudo vi /etc/firewalld/services/example.xml

for å starte vil filen inneholde SSH-definisjonen du kopierte:

<?xml version="1.0" encoding="utf-8"?><service> <short>SSH</short> <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description> <port protocol="tcp" port="22"/></service>

flertallet av denne definisjonen er faktisk metadata. Du vil ønske å endre kortnavnet for tjenesten i <short> – kodene. Dette er et lesbart navn for tjenesten din. Du bør også legge til en beskrivelse slik at du har mer informasjon hvis du trenger å revidere tjenesten. Den eneste konfigurasjonen du trenger å gjøre som faktisk påvirker funksjonaliteten til tjenesten, vil trolig være portdefinisjonen der du identifiserer portnummeret og protokollen du ønsker å åpne. Dette kan spesifiseres flere ganger.

for vår» eksempel » – tjeneste, tenk at vi må åpne port 7777 FOR TCP og 8888 FOR UDP. Ved å skrive INN INNSATSMODUS ved å trykke i, kan vi endre den eksisterende definisjonen med noe slikt:

<?xml version="1.0" encoding="utf-8"?><service> <short>Example Service</short> <description>This is just an example service. It probably shouldn't be used on a real system.</description> <port protocol="tcp" port="7777"/> <port protocol="udp" port="8888"/></service>

Trykk ESC, og skriv deretter inn :x for å lagre og lukke filen.

Last inn brannmuren På nytt for å få tilgang til den nye tjenesten:

sudo firewall-cmd --reload

Du kan se at det nå er blant listen over tilgjengelige tjenester:

firewall-cmd --get-services

output
RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch example freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server

du kan nå bruke denne tjenesten i sonene dine som du normalt ville.

Opprette Dine Egne Soner

mens de forhåndsdefinerte sonene sannsynligvis vil være mer enn nok for de fleste brukere, kan det være nyttig å definere dine egne soner som er mer beskrivende for deres funksjon.

for eksempel vil du kanskje opprette en sone for webserveren din, kalt «publicweb». Du vil imidlertid kanskje ha en annen sone konfigurert FOR DNS-tjenesten du oppgir på ditt private nettverk. Du vil kanskje ha en sone som heter «privateDNS» for det.

når du legger til en sone, må du legge den til i den permanente brannmurkonfigurasjonen. Du kan deretter laste for å bringe konfigurasjonen inn i din løpende økt. For eksempel kan vi lage de to sonene vi diskuterte ovenfor ved å skrive:

 
sudo firewall-cmd --permanent --new-zone=publicweb
 
sudo firewall-cmd --permanent --new-zone=privateDNS
 

du kan kontrollere at disse finnes i den permanente konfigurasjonen ved å skrive inn:

sudo firewall-cmd --permanent --get-zones

output
block dmz drop external home internal privateDNS public publicweb trusted work

som nevnt før, vil disse ikke være tilgjengelige i den nåværende forekomsten av brannmuren ennå:

firewall-cmd --get-zones

output
block dmz drop external home internal public trusted work

Oppdater brannmuren for å bringe disse nye sonene inn i den aktive konfigurasjonen:

 
sudo firewall-cmd --reload
 
firewall-cmd --get-zones
 

output
block dmz drop external home internal privateDNS public publicweb trusted work

Nå kan du begynne å tilordne de riktige tjenestene og portene til sonene dine. Det er vanligvis en god ide å justere den aktive forekomsten og deretter overføre disse endringene til den permanente konfigurasjonen etter testing. For eksempel, for» publicweb «- sonen, vil du kanskje legge TIL SSH -, HTTP-og HTTPS-tjenestene:

 
sudo firewall-cmd --zone=publicweb --add-service=ssh
 
sudo firewall-cmd --zone=publicweb --add-service=http
 
sudo firewall-cmd --zone=publicweb --add-service=https
 
sudo firewall-cmd --zone=publicweb --list-all
 

output
publicweb target: default icmp-block-inversion: no interfaces: sources: services: ssh http https ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:

På Samme måte kan vi legge TIL DNS-tjenesten i vår» privateDNS » – sone:

 
sudo firewall-cmd --zone=privateDNS --add-service=dns
 
sudo firewall-cmd --zone=privateDNS --list-all
 

output
privateDNS interfaces: sources: services: dns ports: masquerade: no forward-ports: icmp-blocks: rich rules:

Vi kan da endre grensesnittene våre til disse nye sonene for å teste dem ut:

 
sudo firewall-cmd --zone=publicweb --change-interface=eth0
 
sudo firewall-cmd --zone=privateDNS --change-interface=eth1
 

På dette tidspunktet har du muligheten til å teste konfigurasjonen din. Hvis disse verdiene fungerer for deg, vil du legge til de samme reglene i den permanente konfigurasjonen. Du kan gjøre det ved å bruke reglene på nytt med flagget --permanent :

 
sudo firewall-cmd --zone=publicweb --permanent --add-service=ssh
 
sudo firewall-cmd --zone=publicweb --permanent --add-service=http
 
sudo firewall-cmd --zone=publicweb --permanent --add-service=https
 
sudo firewall-cmd --zone=privateDNS --permanent --add-service=dns
 

etter at du har brukt disse reglene permanent, kan du starte nettverket på nytt og laste brannmurtjenesten på nytt:

 
sudo systemctl restart network
 
sudo systemctl reload firewalld
 

Validere at de riktige sonene ble tildelt:

firewall-cmd --get-active-zones

output
privateDNS interfaces: eth1publicweb interfaces: eth0

og validere at de riktige tjenestene er tilgjengelige for begge sonene:

sudo firewall-cmd --zone=publicweb --list-services

output
http https ssh

sudo firewall-cmd --zone=privateDNS --list-services

output
dns

Du har satt opp dine egne soner! Hvis du vil gjøre en av disse sonene til standard for andre grensesnitt, husk å konfigurere denne oppførselen med parameteren --set-default-zone= :

sudo firewall-cmd --set-default-zone=publicweb

Konklusjon

Du bør nå ha en ganske god forståelse av hvordan du administrerer firewalld-tjenesten på Ditt CentOS-system for daglig bruk.

firewalld-tjenesten lar deg konfigurere vedlikeholdbare regler og regelsett som tar hensyn til nettverksmiljøet ditt. Den lar deg sømløst overgang mellom ulike brannmurpolicyer gjennom bruk av soner og gir administratorer muligheten til å abstrahere portadministrasjonen til mer vennlige tjenestedefinisjoner. Å skaffe seg kjennskap til dette systemet vil tillate deg å dra nytte av fleksibiliteten og kraften som dette verktøyet gir.