#1 SUSEfirewall2とは?
ファイアウォールの設定を行うコマンドです。
openSUSEには、GUIの設定ツール(YaST)がありますが、
ここでは、コマンドラインから実行するSUSEfirewall2を使ってみます。
SUSEfirewall2は、CentOS7のfirewall-cmd,Ubuntuのufwと同じ位置づけのコマンドです。
いずれも、iptablesを使って、OSのnetfilterにアクセスします。
図に書くと、以下のようになります。
CentOS7 Ubuntu16.04 openSUSE(Leap 42.3)
+--------------+ +------------+ +---------------------+ -*-
| firewall-cmd | | ufw | | SUSEfirewall2 | |
+--------------+ +------------+ +---------------------+ |
ユーザ空間
+-----------------------------------------------------------+ |
| iptables | |
+-----------------------------------------------------------+ -*-
+-----------------------------------------------------------+ -*-
| | |
| OS(netfilter) | カーネル空間
| | |
+-----------------------------------------------------------+ -*-
私が調査した各コマンドの記事は、それぞれ、以下にあります。
firewall-cmdコマンドの使い方
ufwコマンドの使い方
iptablesの使い方
#2 環境
VMware Workstation 14 Playerでゲストマシン(2台)を作成しました。
ゲストマシンの構成、版数は以下のとおりです。
構成
192.168.3.0/24
client ---------------------------------- server
.210 .200
版数
server:~ # lsb-release -a
LSB Version: n/a
Distributor ID: openSUSE project
Description: openSUSE Leap 42.3
Release: 42.3
Codename: n/a
server:~ # uname -r
4.4.76-1-default
#3 オプション一覧
server:~ # SUSEfirewall2 --help
SuSEfirewall2 3.6, Copyright (C) 2005 SUSE LINUX Products GmbH
stateful packet filter rules generator for iptables.
/sbin/SUSEfirewall2 start|test|debug [file FILENAME]
/sbin/SUSEfirewall2 basic|stop|close|status|help
/sbin/SUSEfirewall2 open ZONE TYPE services...
/sbin/SUSEfirewall2 on|off
/sbin/SUSEfirewall2 [-s <service>] update-rpc
Options:
start generate and load the firewall filter rules from
/etc/sysconfig/SuSEfirewall2
stop unload all filter rules
close no incoming network traffic except bootp+ping (for boot security)
basic set basic filter rules that drop all incoming access
test generate and load the filter rules but do not drop any packet but log
to syslog anything which *would* be denied
status print the output of "iptables -nvL"
debug print the iptables command to stdout instead of executing them
log show SuSEfirewall2 related syslog messages in a better readable format
help this output
open open the specified services in the specified zone. You need to
restart SuSEfirewall2 for changes to take effect.
on add SuSEfirewall2 initscripts to boot process and start
off remove SuSEfirwall2 initscripts from boot process and stop
update-rpc update rules for dynamic RPC services
if -s/--service is specified then only rules for the given
service will be updated, otherwise for all configured RPC
services
file FILENAME same as "start" but load alternate config file FILENAME
Calling /sbin/SUSEfirewall2 without any option is the same as the "start" option.
The "file FILENAME" option may be used with the start, test and debug options.
#4 概要
SuSEfirewall2は、/etc/sysconfig/SuSEfirewall2の設定内容をよみとって、
iptablesルールを生成するスクリプトです
server:~ # which SUSEfirewall2
/sbin/SUSEfirewall2
server:~ # file /sbin/SUSEfirewall2
/sbin/SUSEfirewall2: symbolic link to `SuSEfirewall2'
server:~ # file /sbin/SuSEfirewall2
/sbin/SuSEfirewall2: symbolic link to `/usr/sbin/SuSEfirewall2'
結局、SUSEfirewall2はシェルスクリプトであることがわかる。
server:~ # file /usr/sbin/SuSEfirewall2
/usr/sbin/SuSEfirewall2: Bourne-Again shell script, ASCII text executable
#5 SUSEfirewall2の起動、停止方法
##5.1 起動方法(start)
停止しているSUSEfirewall2を起動する方法を説明します。
SUSEfirewall2の状態を確認する。停止していることがわかる。
server:~ # SUSEfirewall2 status
<35>Apr 7 19:29:44 SuSEfirewall2: SuSEfirewall2 not active
SUSEfirewall2を起動する。
server:~ # SUSEfirewall2 start
<38>Apr 7 19:31:08 SuSEfirewall2: Setting up rules from /etc/sysconfig/SuSEfirewall2 ...
<38>Apr 7 19:31:08 SuSEfirewall2: using default zone 'ext' for interface eth0
<38>Apr 7 19:31:09 SuSEfirewall2: Firewall rules successfully set
SUSEfirewall2の状態を確認する。起動していることがわかる。
server:~ # SUSEfirewall2 status
### iptables filter ###
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
12 744 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate ESTABLISHED
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED
0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:5353 PKTTYPE = multicast
2 64 input_ext all -- * * 0.0.0.0/0 0.0.0.0/0
0 0 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-IN-ILL-TARGET "
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0
-以下、略-
##5.2 停止方法(stop)
動作中のSUSEfirewall2を停止する方法を説明します。
SUSEfirewall2を停止する。
server:~ # SUSEfirewall2 stop
<38>Apr 7 19:33:59 SuSEfirewall2: Firewall rules unloaded.
SUSEfirewall2の状態を確認する。停止していることがわかる。
server:~ # SUSEfirewall2 status
<35>Apr 7 19:34:03 SuSEfirewall2: SuSEfirewall2 not active
#6 OS起動時にSUSEfirewall2の起動、停止する方法
##6.1 OS起動時にSUSEfirewall2を起動する方法(on)
server:~ # SUSEfirewall2 on
<38>Apr 7 19:37:49 SuSEfirewall2: Setting up rules from /etc/sysconfig/SuSEfirewall2 ...
<38>Apr 7 19:37:49 SuSEfirewall2: using default zone 'ext' for interface eth0
Created symlink from /etc/systemd/system/multi-user.target.wants/SuSEfirewall2_init.service to /usr/lib/systemd/system/SuSEfirewall2_init.service.
Created symlink from /etc/systemd/system/SuSEfirewall2_setup.service to /usr/lib/systemd/system/SuSEfirewall2.service.
Created symlink from /etc/systemd/system/multi-user.target.wants/SuSEfirewall2.service to /usr/lib/systemd/system/SuSEfirewall2.service.
<38>Apr 7 19:37:50 SuSEfirewall2: Firewall rules successfully set
OSを再起動する。
server:~ # shutdown -r now
OS再起動後のSUSEfirewall2の状態を確認する。SUSEfirewall2が起動していることがわかる。
server:~ # SUSEfirewall2 status
### iptables filter ###
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
46 6489 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate ESTABLISHED
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED
0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:5353 PKTTYPE = multicast
3 116 input_ext all -- * * 0.0.0.0/0 0.0.0.0/0
0 0 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-IN-ILL-TARGET "
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0
-以下、略-
##6.2 OS起動時にSUSEfirewall2を起動しないようにする方法(off)
server:~ # SUSEfirewall2 off
Removed symlink /etc/systemd/system/multi-user.target.wants/SuSEfirewall2_init.service.
Removed symlink /etc/systemd/system/multi-user.target.wants/SuSEfirewall2.service.
Removed symlink /etc/systemd/system/SuSEfirewall2_setup.service.
<38>Apr 7 19:43:04 SuSEfirewall2: Firewall rules unloaded.
OSを再起動する。
server:~ # shutdown -r now
OS再起動後のSUSEfirewall2の状態を確認する。SUSEfirewall2が停止していることがわかる。
server:~ # SUSEfirewall2 status
<35>Apr 7 19:44:31 SuSEfirewall2: SuSEfirewall2 not active
#7 ポート番号へのアクセスを許可、禁止にする方法
##7.1 アクセスを許可する方法
サーバの11111番ポートにアクセスする方法を説明します。
書式
# SuSEfirewall2 open <ZONE> <TYPE> <services...>
ZONE : INT,EXT,DMZの中から選択する。
TYPE : TCP,UDP,IP,RPCの中から選択する。
サーバ側の設定
11111番ポートへのアクセスを許可する。
server:~ # SUSEfirewall2 open EXT TCP 11111
設定を有効にするため、SUSEfirewall2を再起動する。
server:~ # SUSEfirewall2 stop
server:~ # SUSEfirewall2 start
設定ファイルに11111番ポートへのアクセス許可が設定されたことがわかる。
server:~ # less /etc/sysconfig/SuSEfirewall2
FW_SERVICES_EXT_TCP="11111"
iptablesのユーザ定義チェイン(input_ext)にも、11111番ポートへのアクセス許可(★)が設定されたことがわかる。
server:~ # iptables -nL input_ext
Chain input_ext (1 references)
target prot opt source destination
DROP all -- 0.0.0.0/0 0.0.0.0/0 PKTTYPE = broadcast
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmptype 4
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmptype 8
LOG tcp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 tcp dpt:11111 flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-ACC-TCP "
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 ★ tcp dpt:11111
LOG tcp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 tcp dpt:22 flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-ACC-TCP "
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
DROP all -- 0.0.0.0/0 0.0.0.0/0 /* sfw2.insert.pos */ PKTTYPE != unicast
LOG tcp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 tcp flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
LOG icmp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
LOG udp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 ctstate NEW LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
DROP all -- 0.0.0.0/0 0.0.0.0/0
動作確認
サーバ側は11111番ポートでListenする。
server:~ # nc -kl 11111
クライアントからサーバにデータ(12345)を送信する。
client:~ # nc server 11111
12345
サーバ側でデータが受信できたことを確認する。
server:~ # nc -kl 11111
12345
##7.2 アクセスを許可する方法（サービス名を指定する方法）
7.1ではポートへのアクセスをポート番号で指定しましたが、ここではサービス名を指定する方法を説明します。サービス名は/etc/servicesに定義されています。
サーバ側
httpアクセスを許可する。
server:~ # SUSEfirewall2 open EXT TCP http
SUSEfirewall2を再起動する。
server:~ # SUSEfirewall2 stop
server:~ # SUSEfirewall2 start
ncコマンドを実行する。80番ポート(http)でListenします。
server:~ # nc -kl 80
クライアント側
クライアントからサーバの80番ポートにアクセスする。データ(12345)を送信する。
client:~ # nc server 80
12345
サーバ側
サーバ側で受信を確認する。クライアントが送信したデータが受信できたことがわかる。
server:~ # nc -kl 80
12345
##7.3 アクセスを禁止にする方法
SUSEfirewall2は、ポートへのアクセスを禁止にするオプションがないように思います。
あったら、教えてください。
設定ファイル(SuSEfirewall2)を編集して、SUSEfirewall2を再起動することで、
許可したポートへのアクセスを禁止にします。
11111番ポートへのアクセス許可の設定を削除する。
FW_SERVICES_EXT_TCP="11111"をFW_SERVICES_EXT_TCP=""に変更する。
server:~ # vi /etc/sysconfig/SuSEfirewall2
FW_SERVICES_EXT_TCP=""
設定を有効にするため、SUSEfirewall2を再起動する。
server:~ # SUSEfirewall2 stop
server:~ # SUSEfirewall2 start
iptablesのユーザ定義チェイン(input_ext)から、11111番ポートへのアクセス許可が削除されたことがわかる。
server:~ # iptables -nL input_ext
Chain input_ext (1 references)
target prot opt source destination
DROP all -- 0.0.0.0/0 0.0.0.0/0 PKTTYPE = broadcast
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmptype 4
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 icmptype 8
LOG tcp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 tcp dpt:22 flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-ACC-TCP "
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:22
DROP all -- 0.0.0.0/0 0.0.0.0/0 /* sfw2.insert.pos */ PKTTYPE != unicast
LOG tcp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 tcp flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
LOG icmp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
LOG udp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 ctstate NEW LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
DROP all -- 0.0.0.0/0 0.0.0.0/0
#8 受信パケットを拒否する方法(close)
ファイアウォールの状態確認
ファイアウォールの状態を確認する。
INPUTチェインからユーザ定義チェイン(input_ext)を呼び出して(★)いることがわかる。
server:~ # SUSEfirewall2 status
### iptables filter ###
Chain INPUT (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
20 1184 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate ESTABLISHED
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED
0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:5353 PKTTYPE = multicast
★ 0 0 input_ext all -- * * 0.0.0.0/0 0.0.0.0/0
0 0 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-IN-ILL-TARGET "
0 0 DROP all -- * * 0.0.0.0/0 0.0.0.0/0
ユーザ定義チェインの確認
ユーザ定義チェイン(input_ext)の設定内容を確認する。
ssh(★)やICMP echo(■)の受信許可をしていることがわかります。
server:~ # iptables -L input_ext
Chain input_ext (1 references)
target prot opt source destination
DROP all -- anywhere anywhere PKTTYPE = broadcast
ACCEPT icmp -- anywhere anywhere icmp source-quench
ACCEPT icmp -- anywhere anywhere ■ icmp echo-request
LOG tcp -- anywhere anywhere limit: avg 3/min burst 5 tcp dpt:ssh flags:FIN,SYN,RST,ACK/SYN LOG level warning tcp-options ip-options prefix "SFW2-INext-ACC-TCP "
ACCEPT tcp -- anywhere anywhere ★ tcp dpt:ssh
DROP all -- anywhere anywhere /* sfw2.insert.pos */ PKTTYPE != unicast
LOG tcp -- anywhere anywhere limit: avg 3/min burst 5 tcp flags:FIN,SYN,RST,ACK/SYN LOG level warning tcp-options ip-options prefix "SFW2-INext-DROP-DEFLT "
LOG icmp -- anywhere anywhere limit: avg 3/min burst 5 LOG level warning tcp-options ip-options prefix "SFW2-INext-DROP-DEFLT "
LOG udp -- anywhere anywhere limit: avg 3/min burst 5 ctstate NEW LOG level warning tcp-options ip-options prefix "SFW2-INext-DROP-DEFLT "
DROP all -- anywhere anywhere
closeの実行
server:~ # SUSEfirewall2 close
<38>Apr 8 09:31:16 SuSEfirewall2: Firewall rules set to CLOSE.
ファイアウォールの状態確認
INPUTチェインを確認する。ユーザ定義チェイン(input_ext)が削除されたことがわかる。
つまり、外部からの新規パケット受信が禁止されたことになります。
なお、すでに確立済TCPコネクションのパケット送受信や、外部ホストへのpingは実行できます。
server:~ # SUSEfirewall2 status
### iptables filter ###
Chain INPUT (policy DROP 1 packets, 32 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
13 784 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 ctstate ESTABLISHED
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED
0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:5353 PKTTYPE = multicast
動作確認
サーバでpingを実行する。pingが実行完了することがわかる。
server:~ # ping -c 1 client
PING client (192.168.3.210) 56(84) bytes of data.
64 bytes from client (192.168.3.210): icmp_seq=1 ttl=64 time=0.566 ms
クライアントでpingを実行する。しかし、pingが実行完了しません。
ここでは、タイムアウトオプションを指定して、pingが1秒でタイムアウトしていることを確認しています。
client:~ # ping -w 1 -c 1 server
PING server (192.168.3.200) 56(84) bytes of data.
--- server ping statistics ---
1 packets transmitted, 0 received, 100% packet loss, time 0ms
#9 アクセスログの確認方法(log)
ログを確認する。クライアントからサーバの11111番ポートへのアクセスがあったことがわかる。
server:~ # SUSEfirewall2 log
i ext ACC-TCP tcp 192.168.3.210:51066 > eth0 192.168.3.200:11111
i ext ACC-TCP tcp 192.168.3.210:51068 > eth0 192.168.3.200:11111
i ext ACC-TCP tcp 192.168.3.210:51070 > eth0 192.168.3.200:11111
#10 おわりに
SUSEfirewall2コマンドは、細かい設定ができないように思いました。
ポート番号へのアクセス許可はできますが、アクセス禁止にするオプションがありません。
使い勝手が悪いと感じました。
また、送信元／送信先IPを指定するオプションもありません。
このようなときは、設定ファイル(SuSEfirewall2)を直接編集して、
ファイアウォールを再起動する必要があります。
#X 参考情報
SuSEfirewall2