主页 / unix / 问题

问题[firewalld](unix)

Martin Hope
Garnet
Asked: 2022-06-17 05:12:56 +0800 CST
  • 0

我试图在 RHEL 8 服务器上的 %post 部分中的自动 kickstart 安装期间更改一些防火墙设置。例如：firewall-cmd --permanent --zone=public --set-target=DROP。当我在 chroot 后使用命令时，我得到：FirewallD is not running.

如果我在使用 chroot 安装后尝试使用systemctl start firewalld给我的启动它。Running in chroot, ignoring request: start当我在 chroot 之前尝试安装后脚本中的命令时，我收到此错误：Failed to start firewalld.service: Unit firewalld.service not found..

如何在 kickstart 安装期间更改防火墙？

rhel firewalld
Martin Hope
Finch
Asked: 2022-05-19 13:00:03 +0800 CST
  • 1

我正在使用firewalld。我想在受信任区域中添加一系列源 IP。我实际上可以这样做：

❯ sudo firewall-cmd --zone=trusted --add-source=192.168.0.0/16
success

我可以确认这些规则是有效的。但是我不想在每次启动计算机时都这样做。所以我想让规则永久化，但这不会发生：

❯ sudo firewall-cmd --runtime-to-permanent
Warning: NOT_ENABLED: ens32
success

❯ sudo firewall-cmd --get-active-zones
public
  interfaces: ens32

当我重新启动时，规则不再存在，我必须再次添加它们。

有没有办法使规则永久化firewalld？

firewalld
Martin Hope
ron
Asked: 2022-02-05 17:25:58 +0800 CST
  • 4
# firewall-cmd --permanent --add-service=nfs
# filewall-cmd --permanent --add-service=rpc-bind

在 RHEL/CentOS 7.9 中，如果我执行上述操作，防火墙中会打开哪些数字端口号？

服务名称（例如 rpc-bind）到防火墙端口号的映射在哪里定义？

我相信/etc/firewalld/zones/myzone.xml最终一切都归结为以下内容是否正确？

要么 要么tcp和udp一个数字？

# sshd
  <port protocol="tcp" port="22"/>
# nfs
  <port protocol="tcp" port="2049"/>
  <port protocol="udp" port="2049"/>
firewalld services
Martin Hope
Alexis
Asked: 2019-12-09 19:40:41 +0800 CST
  • 1

我想了解来自 Iptables 的 FirewallD。

我的区域是drop没有任何服务的默认区域。

drop (active)
  target: DROP
  icmp-block-inversion: no
  interfaces: enp9s0u2u1u2c2
  sources:
  services: 
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

向该区域添加源 ip 有什么意义？

  1. 我添加了所有本地 IPfirewall-cmd --add-source=192.168.0.0/16

  2. 即使来自此源 IP 之一，它仍然会丢弃所有数据包。

    • 向此区域添加服务将允许任何人访问此服务，无论我设置什么源 IP。

    • 如何限制服务并只允许服务使用单个 IP（或范围）？

与 iptables 相比，firewalld 的行为根本不是很清楚。有很多假设和未知的默认行为。

firewalld
Martin Hope
sourcejedi
Asked: 2019-01-31 05:15:07 +0800 CST
  • 3

在 Debian 9 上，我安装了firewalld（版本0.4.4.2-1）。

sudo firewall-cmd --get-active-zones显示没有输出。并echo $?显示退出状态为 0 ( EXIT_SUCCESS)。为什么？

我有一个 network interface eth0，由ip link（以及 loopback interface lo）显示。

我应该说我的防火墙配置似乎大部分都在工作。FWIW，我已将默认区域从 更改public为MyZone，定义如下：

$ sudo cat /etc/firewalld/zones/MyZone.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>My Zone</short>
  <service name="ssh"/>
  <service name="https"/>
  <!-- ... --> 
</zone>

如果我尝试使用另一台计算机连接，我可以访问 SSH 和 HTTPS 服务。如果我ncat -l -p 8000在服务器上运行，并尝试连接ncat my-server 8000，则连接被正确阻止。（Ncat: No route to host. 并tcpdump显示生成了一个 ICMP 无法访问的回复，输入“管理员禁止”）。

为什么firewall-cmd --get-active-zones没有将 MyZone 显示为活动状态？

$ sudo firewall-cmd --state                                                                                                         
running
$ sudo firewall-cmd --get-active-zones
$ echo $?
0
$ sudo firewall-cmd --get-default-zone
MyZone
$ ip addr show dev eth0
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000
    link/ether 00:50:43:01:c0:ab brd ff:ff:ff:ff:ff:ff
    inet 172.16.1.8/24 brd 172.16.1.255 scope global eth0
       valid_lft forever preferred_lft forever
    inet6 fd5e:fcf3:b885:0:250:43ff:fe01:c0ab/64 scope global mngtmpaddr dynamic
       valid_lft forever preferred_lft forever
    inet6 fe80::250:43ff:fe01:c0ab/64 scope link
       valid_lft forever preferred_lft forever

firewalld.service不记录任何警告。

$ sudo systemctl status firewalld
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
   Active: active (running) since Wed 2019-01-30 13:17:31 GMT; 56min ago
     Docs: man:firewalld(1)
 Main PID: 509 (firewalld)
    Tasks: 2 (limit: 4915)
   CGroup: /system.slice/firewalld.service
           └─509 /usr/bin/python3 -Es /usr/sbin/firewalld --nofork --nopid

Jan 30 13:17:21 brick systemd[1]: Starting firewalld - dynamic firewall daemon...
Jan 30 13:17:31 brick systemd[1]: Started firewalld - dynamic firewall daemon.

我看到它firewalld更喜欢与 NetworkManager 一起使用。我目前没有运行 NetworkManager，听起来这有点脆弱。

https://firewalld.org/documentation/concepts.html

如果不使用 NetworkManager，则有一些限制... 如果 firewalld 在网络已经启动后启动，则连接和手动创建的接口不会绑定到区域。

但是，自从安装firewalld. 我检查了systemd服务。 firewalld.service开始了Before=network-pre.target。 networking.service开始了After=network-pre.target。我已经确认firewalld是在之前开始的networking.service：

$ sudo journalctl -b -u networking -u firewalld
-- Logs begin at Sat 2019-01-26 04:15:01 GMT, end at Wed 2019-01-30 14:15:33 GMT. --
Jan 30 13:17:21 brick systemd[1]: Starting firewalld - dynamic firewall daemon...
Jan 30 13:17:31 brick systemd[1]: Started firewalld - dynamic firewall daemon.
Jan 30 13:17:31 brick systemd[1]: Starting Raise network interfaces...
Jan 30 13:17:37 brick systemd[1]: Started Raise network interfaces.

我没有手动重新启动网络或运行ifdown/ ifup，我没有运行ifplugd。内核日志（如下）表明以太网链路已经启动，并且 IPv6 一直在运行，自启动以来一直在运行。

$ sudo dmesg|grep eth0
[    4.082350] mv643xx_eth_port mv643xx_eth_port.0 eth0: port 0 with MAC address 00:50:43:01:c0:ab
[   47.577570] IPv6: ADDRCONF(NETDEV_UP): eth0: link is not ready
[   49.981569] mv643xx_eth_port mv643xx_eth_port.0 eth0: link up, 1000 Mb/s, full duplex, flow control disabled
[   49.991543] IPv6: ADDRCONF(NETDEV_CHANGE): eth0: link becomes ready

我什至没有使用 DHCP。eth0in的配置/etc/network/interfaces是

auto eth0
iface eth0 inet static
    address 172.16.1.8
    netmask 255.255.255.0
    gateway 172.16.1.1
    dns-nameservers 172.16.1.1
debian firewalld
Martin Hope
sourcejedi
Asked: 2019-01-01 02:32:36 +0800 CST
  • 2

在 Fedora 上，该firewalld软件包需要ebtables. firewalld默认情况下，在 Debian 上安装也会安装，ebtables尽管这是建议而非硬性要求。

Fedora 默认不启用所有服务。它启用 systemd 服务firewalld，但不启用ebtables。

Debian 默认启用所有服务。因此它为firewalld和启用了 systemd 服务ebtables。

  • 做什么ebtables.service？
  • 假设我只对firewalld特定的功能感兴趣。那么启用ebtables.service有什么用吗？
    • ebtables.service在 Debian 上禁用会禁用firewalld?
    • ebtables.service在 Fedora 上启用是否启用任何功能firewalld？
    • ebtables.service和之间是否有任何可能的冲突firewalld.service？
  • 有什么firewalld用ebtables？

软件版本

  • 德比安：9
    • 防火墙：0.4.4.2-1
    • ebtables：2.0.10.4-3.5+b1
  • 软呢帽：28
    • 防火墙：0.5.5-1.fc28.noarch
    • ebtables：2.0.10-25.fc28.x86_64
debian firewalld
Martin Hope
sourcejedi
Asked: 2018-12-31 04:45:15 +0800 CST
  • 0

以下是通过在公共区域中启用 ftp 服务添加的 ftp 助手的示例：

# iptables -t raw -S | grep CT
-A PRE_public_allow -p tcp -m tcp --dport 21 -j CT --helper ftp

https://firewalld.org/2016/10/automatic-helper-assignment

我没有尝试禁用任何默认帮助程序，但运行上述命令不会显示任何此类规则。也没有sudo iptables-save | grep 21。为什么？

# rpm -q firewalld
firewalld-0.5.5-1.fc28.noarch
linux firewalld
Martin Hope
Hussain Akbar
Asked: 2018-07-06 02:01:36 +0800 CST
  • 0

在CentOS 7上，FirewallD服务可以作为SOCKS服务器使用吗？即，如果我将 ISP 线路连接到服务器的端口 #1 并将 LAN 连接到端口 #2？使用 Squid 只允许 LAN 客户端浏览，但其他的东西如 FTP、POP 等需要 SOCKS 服务器。

是的，我知道使用适当的路由器/防火墙，我的问题是 Linux 服务器可以这样使用吗？

centos firewalld