refirio.org

ファイヤーウォールを設定

※不要なアクセスを遮断する。 諸々の初期設定を行っている最中に侵入される可能性があるので、早い段階で設定する。 ※新規の接続が対象で、確立済みの接続には影響しない。 ※AWSではセキュリティーグループを使用するので以下の手順は原則不要。 ■概要 CentOS7では、iptablesではなくfirewalldコマンドで設定する。 内部的にはiptablesが使われているが、共存はできない。 コマンドで操作してXMLに記録されるのが基本的な操作方法。 典型的な設定のテンプレートとして「ゾーン」が用意されている。 publicはパブリックエリア用、internalは内部ネットワーク用、など。 公開サーバならpublicを使用すればいい。 ループバックの指定、ESTABLISHED,RELATEDの指定、ICMPの指定といった、 基本的な機能は指定しなくても有効になっている。 【丁寧解説】Linuxのファイアウォール firewalld の使い方 https://eng-entrance.com/linux-centos-firewall firewall-cmd ... コマンド。これに続けて様々な指定を行う。 --permanent ... 恒久的な設定を行う。反映には「firewall-cmd --reload」が必要。省略すると即時反映だが、再起動とともに消える。 --zone=public ... 操作対象のゾーン。省略すると、デフォルトのpublicゾーンが対象になる。 以下にサービスやゾーンの初期設定の定義ファイルがある。 /usr/lib/firewalld/services /usr/lib/firewalld/zones 以下にユーザによってカスタマイズされた定義ファイルがある。 /etc/firewalld/services /etc/firewalld/zones 以下にダイレクトルールの定義ファイルがある。 /etc/firewalld/direct.xml 以下にfirewallの設定ファイルがある。 /etc/firewalld/firewalld.conf CentOS7でのFirewalld設定（ほぼコマンド例） - Qiita https://qiita.com/t-morisoba/items/d8702015f92a0dcb7280 CentOS 7 firewalld よく使うコマンド - Qiita https://qiita.com/kenjjiijjii/items/1057af2dddc34022b09e firewallは、ポートによる制限やIPアドレスによる制限など、手段が複数用意されている。 ポートによる制限： 特定のポートへのアクセスを許可する。 例えば「firewall-cmd --permanent --add-port=10022/tcp」とすると、10022番ポートへのすべてのアクセスが許可される。 例えば「firewall-cmd --permanent --add-port=8080/tcp」とすると、8080番ポートへのすべてのアクセスが許可される。 基本的には、後述の「サービスによる制限」を利用する方が後から判別しやすい。 設定された内容は、「firewall-cmd --list-all」で確認したとき「ports」に反映される。 サービスによる制限： サービス名を指定してアクセスを許可する。 例えば「firewall-cmd --permanent --add-service=http」とすると、HTTPへのすべてのアクセスが許可される。 例えば「firewall-cmd --permanent --add-service=https」とすると、HTTPSへのすべてのアクセスが許可される。 どのサービスがどのポートを使用するかは、 /usr/lib/firewalld/services/ssh.xml などのファイルに記録されている。 これを /etc/firewalld/services/ssh.xml などに複製してポート番号を変更することで、例えば「SSHのポートは22ではなく10022」のような制御ができる。 （詳細は、後述の「SSHのポート番号変更」も参照。） 設定された内容は、「firewall-cmd --list-all」で確認したとき「services」に反映される。 IPアドレスによる制限： IPアドレスを指定してアクセスを許可する。 例えば「firewall-cmd --permanent --add-source=203.0.113.1/32」とすると、203.0.113.1からのすべてのアクセスが許可される。 設定された内容は、「firewall-cmd --list-all」で確認したとき「sources」に反映される。 リッチルールによる制限： 例えば「firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=203.0.113.1/32 service name=ssh accept'」とすると、 SSH（デフォルトは22番ポート）へのアクセスを203.0.113.1からのアクセスに限定して許可される。 設定された内容は、「firewall-cmd --list-all」で確認したとき「rich rules」に反映される。 SSHやFTPなどにIP制限を設けたい場合、原則このリッチルールでの指定となる。 例えば「firewall-cmd --permanent --add-service=ftp」とした場合、 別途リッチルールによるIPアドレス別の許可を行なっても、FTPへのアクセスは全開放済みになっているので注意。 いずれにせよ、設定を行ったら 「意図したアクセスを許可しているか」「意図しないアクセスが許可されていないか」 を都度確認するのが確実。 ■起動 ■設定方法 80番、443番、10022番ポートを開ける場合。 設定をリセットする場合。（一般的な方法かどうかは不明。） 設定例 リッチルールの削除は、「firewall-cmd --permanent --list-rich-rules」で設定されているルールを確認し、削除したいルールをコピーして。 「firewall-dmc --permanent --remove-rich-rule='（ここにコピーしたものを貼り付け）'」 とすることで削除できる。 CentOS7でのFirewalld設定（ほぼコマンド例） - Qiita https://qiita.com/t-morisoba/items/d8702015f92a0dcb7280 CentOS7でfirewalld（ファイアウォール）の設定。firewall-cmd -list-allでports（ポート番号）の指定をお忘れなく！ - エコテキブログ https://e-yota.com/webservice/post-2563/ CentOS7のfirewalldをまじめに使うはじめの一歩（systemdも少し） - Qiita https://qiita.com/shrkw/items/8410e9cb65eb789a40e1 firewalld初心者のメモ - Qiita https://qiita.com/T_Shinaji/items/b3ba400feb3c6adebd27 CentOS7でのFirewalld設定（ほぼコマンド例） - Qiita https://qiita.com/t-morisoba/items/d8702015f92a0dcb7280 CentOS 7 firewalld よく使うコマンド - Qiita https://qiita.com/kenjjiijjii/items/1057af2dddc34022b09e CentOS7 ダイレクトルールを使ったFirewallの強化（iptables） http://www.yam-web.net/centos7/direct-rule/index.html firewalldでソースを指定して通信を遮断する方法 | server-memo.net http://www.server-memo.net/centos-settings/firewalld/source-drop.html 自分なりにあちこちからかき集めて作ったセキュアなCentOS7サーバ - Qiita https://qiita.com/KurokoSin/items/51e79657f1f2104cf607 firewall-cmdコマンドの使い方 - Qiita https://qiita.com/hana_shin/items/bd9ba363ba06882e1fab ■SSHのポート番号変更 SSHのポートを変更している場合、 「--add-port=10022/tcp」と指定する…よりも、以下のようにサービスのポート番号を変える方が良さそう。 CentOS7でSSHのポート番号を変更する - Qiita https://qiita.com/fk_2000/items/019b62818e34be973227 ■設定例 以下に設定すべき内容の一例をまとめ中。 ※22番ポートが閉じられているかは要確認。 ■CentOS6の場合 さくらのVPS を使いはじめる 3 - iptables を設定する http://akabeko.me/blog/2010/09/%E3%81%95%E3%81%8F%E3%82%89%E3%81%AEvps-%E3%82%92%E4%BD%BF%E3%81%84%E... iptablesの設定 http://www.nina.jp/server/redhat/iptables/iptables.html ファイアウォール構築(iptables) http://centossrv.com/iptables.shtml 【丁寧解説】Linuxファイアウォール iptablesの使い方 https://eng-entrance.com/linux-firewall 以下、ファイヤーウォールを設定。 ※ループバックの指定 ... 同じコンピュータ上で動作するプログラム同士が、通信し合うときに使う仮想的なインターフェース。 ※ESTABLISHED,RELATEDの指定 ... サービスの種類によっては開放してあるポートは最初の受付だけに使い、 その後のやりとりは通信相手ごとにランダムなポートが使われる場合がある。 この場合、何番のポートを開放すればいいか事前に決められない。 ※ICMPの指定 ... 通信経路確認用の traceroute コマンドや、疎通確認用の ping コマンドを使うために必要なもの。 ※fail2banを導入している場合、続けて以下を実行しないとfail2banの設定が消えたままになるみたい？ ファイヤーウォールを再起動する場合は注意する。