Column
コラム

ネットワークゾーンの種類

ネットワークゾーンは9つあります。ネットワークゾーンに対して許可するサービスを定義していきます。 デフォルトのネットワークゾーンは「public」が選択されており、サービスは「dhcpv6-client」と「ssh」が有効になっています。 ネットワークゾーンの説明は下記のようになります。

・drop

・block

・public

・external

・dmz

・work

・home

・internal

・trusted

ネットワークゾーン「public」にhttpとhttpsを許可にする

ここより設定を行っていきますが、firewalldが有効になっている想定で行って行きます。
今回はネットワークゾーン「public」に設定していきたいと思います。 設定を永続的にするには、
––permanent オプションを追加します。 まずはhttpとhttpsを許可したいと思います。

・Webサーバー(http)のサービス（ポート）を永続的に許可

$ sudo firewall-cmd --permanent --add-service=http
※間違えて設定してしまった場合は「add」の箇所を「remove」にすると削除できます。

・httpsサーバーのサービス（ポート）を永続的に許可

$ sudo firewall-cmd --permanent --add-service=https

・firewalldを状態の情報を失わずにリロードする。

$ sudo firewall-cmd --reload

・現在有効な機能とゾーンを一覧表示します。

$ sudo firewall-cmd --list-all
public (default, active)
  interfaces: eth0
  sources: 
  services: dhcpv6-client　ssh http https
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules: 

リッチ言語コマンドを使い特定のポートに特定のネットワークから許可する

リッチ言語は複雑なファイアウォールルールが作成できます。 リッチ言語を使って特定のポートにIPアドレスを許可する設定を行っていきたいと思います。 次に行いたいことはsshで指定したポート2222番を特定のIP「192.168.1.1」のみ接続できるようにします。

・SSHサーバーのポートを永続的に閉じる。

$ sudo firewall-cmd --permanent --remove-service=ssh

・sshd_configで指定したポート2222番、特定のIP192.168.1.1を永続的に許可する。

$ sudo firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.1.1" port protocol="tcp" port="2222" accept"

・firewalldを状態の情報を失わずにリロードする。

$ sudo firewall-cmd --reload

・現在有効な機能とゾーンを一覧表示します。

$ sudo firewall-cmd --list-all
public (default, active)
  interfaces: eth0
  sources: 
  services: dhcpv6-client http https
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules: 
	rule family="ipv4" source address="192.168.1.1" port port="2222" protocol="tcp" accept

まとめ

以上今回の設定で、今回CentOS7のファイアウォールの設定が「iptables」から「firewalld」に変更となり色々調べながら設定を行って行きましたが、
ネット上のドキュメントがまだまだ少ないこともあり理解できていないこともまだまだあります。
もっと模索してセキュアな設定方法を実装し、また記事にできればと思っています。CentOS7ファイアウォールの設定で今回ご紹介したような設定をしたいと思っている方へ少しでも役に立てばと思います。

参考サイト

・redhat 4.5. ファイアウォールの使用
・FirewallD/jp