Home
admin
|
Firewalld October 18th, 2016 |
||||||||||||||||||||||
 Although it also works on the netfilter code in the Linux kernel, firewalld is totally incompatible with the old way to configure Linux firewalls.
 Docs
http://www.certdepot.net/rhel7-get-started-firewalld/ http://ktaraghi.blogspot.fr/2013/10/what-is-firewalld-and-how-it-works.html http://searchdatacenter.techtarget.com/tip/A-few-ways-to-configure-Linux-firewalld Le fwl est il démarré ?
ou
Les zones
Plusieurs zones peuvent être actives (i.e. associées à une même interface).  "After installation, a RHEL 7 server is normally in the public zone, but you may want to add it to another zone to easily configure firewall access. "
Zones available:
To know in which zone you're in:
To know the default zone:
For detailed information about the configuration of a specific zone, you can use :
Changing the default zone isn't difficult, use
Les services
Firewalld uses its own set of services that are configured using XML files in the directories /usr/lib/firewalld/services
To configure services, create an XML file in /etc/firewalld/services
Service example:
To shows a list of services allowed in the default zone, use
On observe ci-dessus qu'il est possible de se connecter en ssh sur cette machine. To add a service into the default zone, use
To add a service into a specific zone, use
Exemple :
Le service ssh du serveur sera accessible pour les machines appartenant à la zone "public". On peut également utiliser la zone work sur la même interface. On précise cependant quel est le sous-réseau associé à cette interface :
Le service smb du serveur ne sera accessible que pour les machines appartenant à la zone "work" (sous réseau 192.168.2.0/24). Sans l'option "--permanent" les modifications ne dureront que jusqu'au prochain reboot. Pour les pérenniser, il faut ajouter l'option "--permanent" à la commande.
To remove a service from a specific zone, use
To list the allowed services from a specific zone, use
To list the allowed ports from a specific zone, use
To remove a service from a specific zone, use
To reload your firewalld, use
Les services ajoutés avec l'option --permanent ne sont pas immédiatement visibles avec la commande "firewall-cmd --list-services". Il faut recharger le firewall pour les voir apparaitre.
Le conntrack c'est quoi ?
"Il existe un dernier statut intéressant pour le suivit de connexion, il s'agit du statut "RELATED" : Il existe certains protocoles, comme le FTP ou l'IRC par exemple, qui ne répondent pas toujours sur le port qui a initialisé la connexion. Au lieu de cela, ils initialisent eux-mêmes une connexion sur un autre port de la machine demandant l'information. Vous pouvez trouver une excellente explication sur le fonctionnement de ce mode particulier du protocole FTP sur ce site (la partie sur le "mode passif"). Pour certains de ces protocoles particuliers, Netfilter est capable de comprendre que cette nouvelle connexion rentrante est en fait en relation avec une autre connexion précédemment établie par la machine elle-même. Pour ce type de connexion, elle leur attribue le statut de "RELATED" (pour "relative" en anglais). [...] Si vous envisagez d'utiliser vos clients FTP en mode passif, ou que vous compter utiliser l'IRC, vous avez la possibilité de charger les modules "ip_conntrack" qui supportent ces protocoles." Exemple :
Source : http://olivieraj.free.fr/fr/linux/information/firewall/fw-03-07.html Rich rules
Il est possible en ligne de commande de définir des règles plus complexes (comme on le faisait avec iptables) :
Source : http://fedoraproject.org/wiki/Features/FirewalldRichLanguage#Handle_rich_rules_with_the_command_line_client Source management
A zone can be bound to a network interface (see above) and/or to a network addressing (called here a source). Any network packet entering in the network stack is associated with a zone. The association is done according to the following pattern: is the packet coming from a source already bound to a zone? (if yes, it is associated with this zone), if not, is the packet coming from a network interface already bound to a zone? (if yes, it is associated with this zone), if not, the packet is associated with the default zone. This way, multiple zones can be defined even on a server with only one network interface!
Ce mécanisme permet de construire un architecture comme ci-dessus. L'interface eth0 ne proposera que peu de services (par ex du ssh). Plus de services seront proposés qd on appartient au réseau 192.168.2.0/24 : depuis la zone trusted on aura par exemple accès au samba du serveur. Source : http://www.certdepot.net/rhel7-get-started-firewalld/ |
| Dernières modifs |
|---|
| CentOS (November 1st, 2020) SystemD (October 18th, 2016) RHEL 6.4 (October 18th, 2016) RHEL 6.3 bugs et cie (October 18th, 2016) Fedora (October 18th, 2016) Firewalld (October 18th, 2016) Gestion des paquets (October 18th, 2016) |
| Contact | ||
|---|---|---|
| Pour m'envoyer un mail, Pour me laisser un commentaire :
|
