概要
iptablesばっちこーいな気分でいたら、CentOS 7(RHEL7)からはfirewalldというものを使うそうです。新しくて面倒気分ですが、たぶんほとんどのシーンでは今までより簡単に使えそうです。
信頼するIPアドレスは「trusted」ゾーンへ、悪さするIPアドレスは「block」ゾーンへ、「public」ゾーンには公開するサービスだけを登録、こんな感じでいけます。
環境
- CentOS 7.1
$ cat /etc/redhat-release
CentOS Linux release 7.1.1503 (Core)
はじめにfirewalldのこと
firewalldを設定する上で肝要なのは、ゾーンという考え方です。「Home」とか「Public」という名前を見るとWindowsみたいですが、ちょいと違います。
その他にもいくつか新しい用語があります。
ゾーンとは
あるネットワーク接続の信頼レベルの定義です。 ← 直訳すぎてわかんないですね。
まず、ネットワーク接続を分類します。分類方法は、どのネットワークインターフェースを使っているか、差出元IPアドレスがなんであるか、ポート番号がなんであるかです。そのネットワーク接続をゾーンという単位でまとめます。
初期状態で以下のようなゾーンが存在します。
- drop 有無を言わさずパケットを落とします。IDENT要求なんかはこのゾーンに入れてあげるといいかも。
- block アクセス全拒否したいIPアドレスは、このゾーンに入れてあげます。
- public
- external
- dmz
- work
- home
- internal
- trusted アクセス全許可するIPアドレスは、このゾーンに入れてあげます。
# dmzゾーンって、頭痛が痛いですね。。。
サービスとは
公開するプロトコル/ポート番号/宛先IPアドレスをまとめたものです。
/usr/lib/firewalld/services ディレクトリの下にxmlファイルとして設定されています。
リッチルールとは
iptablesに設定するルールの簡易版です。読みやすい(?)代わりに機能が少ないです。
次のオプションを指定できます。
- 差出元IPアドレス
- 宛先IPアドレス
- firewalldが提供するサービス、ポート番号、プロトコル、ICMPタイプ、IPマスカレードするかどうか、フォワードするかどうか
- ロギング
- アクション（action、reject、drop）
ロックダウンとは
ファイアウォールがユーザやアプリケーションから変更できないようにします。
ホワイトリスト形式で変更を許すユーザやアプリケーションを指定できます。
設定方針
こんな感じの方針で設定します。
- trustedゾーンに接続を許すIPアドレスを登録
- 公開するネットワークインターフェースをpublicゾーンにする
- publicゾーンから不要なサービスを削除
- publicゾーンに公開するサービスを追加
設定手順
firewalldを有効化して起動
何はともあれ起動します。
# systemctl enable firewalld
ln -s '/usr/lib/systemd/system/firewalld.service' '/etc/systemd/system/dbus-org.fedoraproject.FirewallD1.service'
ln -s '/usr/lib/systemd/system/firewalld.service' '/etc/systemd/system/basic.target.wants/firewalld.service'
# systemctl start firewalld
trustedゾーンに接続を許すIPアドレスを登録
# firewall-cmd --zone=trusted --add-source=xxx.xxx.xxx.xxx
success
# firewall-offline-cmd --zone=trusted --add-source=xxx.xxx.xxx.xxx
success
インターフェースをpublicゾーンへ追加
# firewall-cmd --zone=public --add-interface=eth0
success
# firewall-offline-cmd --zone=public --add-interface=eth0
success
publicゾーンから不要なサービスを削除
# firewall-cmd --zone=public --remove-service=dhcpv6-client
success
# firewall-cmd --zone=public --remove-service=ssh
success
# firewall-cmd --permanent --zone=public --remove-service=dhcpv6-client
success
# firewall-cmd --permanent --zone=public --remove-service=ssh
success
publicゾーンに公開するサービスを追加
httpとhttpsを公開するようにしました。
# firewall-cmd --zone=public --add-service=http
success
# firewall-cmd --zone=public --add-service=https
success
# firewall-cmd --permanent --zone=public --add-service=http
success
# firewall-cmd --permanent --zone=public --add-service=https
success
設定の確認
使用しているゾーンの確認
インターフェースやソースアドレスを登録したゾーンを一覧表示します。
# firewall-cmd --get-active-zones
public
interfaces: eth0
trusted
sources: xxx.xxx.xxx.xxx
公開しているサービスの確認
ソーンに追加されているサービスを一覧表示します。
# firewall-cmd --zone=public --list-services
# firewall-cmd --zone=trusted --list-services
ゾーン名を指定しないと、デフォルトゾーン（firewall-cmd --get-default-zoneで確認できます）が対象となります。