Cómo instalar un firewall con firewalld en CentOS 8

El demonio firewalld gestiona grupos de reglas usando entidades denominadas zonas. Las zonas son conjuntos de reglas que determinan el tráfico que debe permitirse según el nivel de confianza en la red. Se asignan interfaces de red a las zonas para indicar qué comportamientos debe permitir el firewall.

Para las computadoras que pueden cambiar de red con frecuencia (como las portátiles), este tipo de flexibilidad proporciona un buen método para cambiar sus reglas en función de su entorno.  Es posible que tenga reglas estrictas que prohíban la mayor parte del tráfico cuando opera en una red WiFi pública y restricciones más flexibles cuando se conecta a su red doméstica.  Para los servidores, estas zonas no suelen ser tan importantes porque el entorno de red rara vez, o nunca, cambia.

Independientemente de lo dinámico que pueda ser su entorno de red, es útil familiarizarse con la idea general detrás de cada una de las zonas predefinidas de firewalld.  A continuación, presentamos las zonas predefinidas de firewalld ordenadas de la menos confiable a la más confiable:

• drop: tiene el menor nivel de confianza. Todas las conexiones entrantes se descartan sin respuesta y solo se permiten conexiones salientes.
• block: es similar a la anterior, pero en lugar de simplemente descartar las conexiones, las solicitudes entrantes se rechazan con un mensaje icmp-host-prohibited o icmp6-adm-prohibited.
• public: representa redes públicas que no son de confianza. No se confía en otras computadoras, pero puede permitir ciertas conexiones entrantes según cada caso individual.
• external: redes externas, en caso de que esté usando el firewall como puerta de enlace. Está configurada para enmascaramiento de NAT para que su red interna permanezca privada, pero sea accesible.
• internal: el otro lado de la zona externa; se usa para la parte interna de una puerta de enlace. Las computadoras son bastante confiables y hay algunos servicios adicionales disponibles.
• dmz: se utiliza para computadoras ubicadas en una red perimetral (equipos aislados que no tendrán acceso al resto de su red).  Solo se permiten ciertas conexiones entrantes.
• work: se utiliza para las máquinas de trabajo. Se confía en la mayoría de las computadoras de la red. Se pueden permitir algunos servicios más.
• home: un entorno doméstico. En general, implica que se confía en la mayoría de las otras computadoras y que se aceptarán algunos servicios más.
• trusted: se confía en todas las máquinas de la red. Es la más abierta de las opciones disponibles y debe usarse con moderación.

Para usar el firewall, podemos crear reglas, alterar las propiedades de nuestras zonas y luego asignar nuestras interfaces de red a las zonas que sean más apropiadas.

En firewalld, las reglas se pueden aplicar al conjunto de reglas de tiempo de ejecución actual o se pueden establecer como permanentes. Cuando se añade o modifica una regla, por defecto, solo se modifica el firewall que se está ejecutando en ese momento. Después del siguiente reinicio, o al volver a cargar el servicio firewalld, solo se mantendrán las reglas permanentes.

En la mayoría de las operaciones de firewall-cmd, se puede usar un indicador --permanent para indicar que los cambios se deben aplicar a la configuración permanente. Además, el firewall que esté en ejecución se puede guardar en la configuración permanente con el comando firewall-cmd --runtime-to-permanent.

Esta separación entre la configuración en tiempo de ejecución y la permanente le permite probar reglas de forma segura en su firewall activo y, luego, volver a cargarlo para comenzar de nuevo si hay problemas.

Podemos ver qué zona está selecciona actualmente como predeterminada al escribir lo siguiente:

firewall-cmd --get-default-zone

Output
public

Debido a que no dimos a firewalld ningún comando para que se desvíe de la zona predeterminada, y a que ninguna de nuestras interfaces está configurada para vincularse con otra zona, esa zona será también la única active (la que controla el tráfico de nuestras interfaces). Podemos verificarlo al escribir lo siguiente:

firewall-cmd --get-active-zones

Output
public
  interfaces: eth0 eth1

Aquí, podemos ver que, en nuestro servidor de ejemplo, el firewall controla dos interfaces (eth0 y eth1). Las dos se están gestionando de acuerdo con las reglas definidas para la zona public.

¿Pero cómo sabemos qué reglas están relacionadas con la zona public? Podemos imprimir la configuración predeterminada de la zona al escribir lo siguiente:

sudo firewall-cmd --list-all

Output
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0 eth1
  sources:
  services: cockpit dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

El resultado nos permite determinar que esta es una zona predeterminada y activa, y que las interfaces eth0 y eth1 están asociadas a ella (ya sabíamos todo esto de nuestras consultas anteriores). Sin embargo, también podemos observar que esta zona permite tráfico de un cliente DHCP (para la asignación de direcciones IP), SSH (para administración remota) y Cockpit (una consola web).

Ahora tendrá una buena idea de la configuración de la zona predeterminada y activa. También podemos obtener información sobre otras zonas.

Para obtener una lista de las zonas disponibles, escriba lo siguiente:

firewall-cmd --get-zones

Output
block dmz drop external home internal public trusted work

Podemos ver la configuración específica asociada con una zona incorporando el parámetro --zone= a nuestro comando --list-all:

sudo firewall-cmd --zone=home --list-all

Output
home
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: cockpit dhcpv6-client mdns samba-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

Puede ver todas las definiciones de zona usando la opción --list-all-zones. Puede ser conveniente canalizar el resultado a un paginador para visualizarlo de forma más sencilla:

sudo firewall-cmd --list-all-zones | less

A continuación, aprenderemos a asignar zonas a interfaces de red.

Puede mover una interfaz entre zonas durante una sesión usando el parámetro --zone= en combinación con el parámetro --change-interface=. Al igual que con todos los comandos que modifican el firewall, deberá usar sudo.

Por ejemplo, podemos mover nuestra interfaz eth0 a la zona home escribiendo lo siguiente:

sudo firewall-cmd --zone=home --change-interface=eth0

Output
success

Podemos verificar si el desplazamiento se realizó de forma correcta al volver a consultar las zonas activas:

firewall-cmd --get-active-zones

Output
home
  interfaces: eth0
public
  interfaces: eth1

Si todas sus interfaces se pueden gestionar bien con una sola zona, probablemente sea más fácil designar la mejor zona como predeterminada y, luego, usarla para su configuración.

Puede cambiar la zona predeterminada con el parámetro --set-default-zone=, que cambiará de inmediato cualquier interfaz que esté usando la zona predeterminada:

sudo firewall-cmd --set-default-zone=home

Output
success

El método más directo es agregar los servicios o puertos que necesita a las zonas que está utilizando.  Puede obtener una lista de las definiciones de servicio disponibles con la opción --get-services:

firewall-cmd --get-services

Output
RH-Satellite-6 amanda-client amanda-k5-client amqp amqps apcupsd audit bacula bacula-client bb bgp bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc bittorrent-lsd ceph ceph-mon cfengine cockpit condor-collector ctdb dhcp dhcpv6 dhcpv6-client distcc dns dns-over-tls docker-registry docker-swarm dropbox-lansync elasticsearch etcd-client etcd-server finger freeipa-4 freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master git grafana gre high-availability http https imap imaps ipp ipp-client ipsec irc ircs iscsi-target isns jenkins kadmin kdeconnect kerberos kibana klogin kpasswd kprop kshell ldap ldaps libvirt libvirt-tls lightning-network llmnr managesieve matrix mdns memcache minidlna mongodb mosh mountd mqtt mqtt-tls ms-wbt mssql murmur mysql nfs nfs3 nmea-0183 nrpe ntp nut openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole plex pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy prometheus proxy-dhcp ptp pulseaudio puppetmaster quassel radius rdp redis redis-sentinel rpc-bind rsh rsyncd rtsp salt-master samba samba-client samba-dc sane sip sips slp smtp smtp-submission smtps snmp snmptrap spideroak-lansync spotify-sync squid ssdp ssh steam-streaming svdrp svn syncthing syncthing-gui synergy syslog syslog-tls telnet tentacle tftp tftp-client tile38 tinc tor-socks transmission-client upnp-client vdsm vnc-server wbem-http wbem-https wsman wsmans xdmcp xmpp-bosh xmpp-client xmpp-local xmpp-server zabbix-agent zabbix-server

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

Puede habilitar un servicio para una zona usando el parámetro --add-service=. La operación actuará sobre la zona predeterminada o cualquier zona que se especifique en el parámetro --zone=. Por defecto, solo se aplica a la sesión de firewall actual. Puede ajustar la configuración permanente del firewall al incluir el indicador --permanent.

Por ejemplo, si ejecutamos un servidor web que proporciona tráfico HTTP convencional, podemos permitir temporalmente este tráfico para las interfaces de nuestra zona public escribiendo lo siguiente:

sudo firewall-cmd --zone=public --add-service=http

Puede omitir el indicador --zone= si desea modificar la zona predeterminada. Podemos verificar si la operación se realizó de forma correcta usando las operaciones --list-all o --list-services:

sudo firewall-cmd --zone=public --list-services

Output
cockpit dhcpv6-client http ssh

Una vez que haya probado que todo funcione como se espera, probablemente desee modificar las reglas permanentes del firewall para que su servicio siga estando disponible después de un reinicio.  Podemos hacer que nuestro cambio anterior sea permanente al volver a escribirlo y agregar el indicador --permanent:

sudo firewall-cmd --zone=public --add-service=http --permanent

Output
success

Alternativamente, puede usar el indicador --runtime-to-permanent para guardar la configuración del firewall que se está ejecutando en la configuración permanente:

sudo firewall-cmd --runtime-to-permanent

Tenga cuidado con esto, ya que todos los cambios que realice en el firewall en ejecución se aplicarán de forma permanente.

Independientemente del método que elija, puede verificar si se aplicó correctamente al agregar el indicador --permanent a la operación --list-services. Debe usar sudo para toda operación con --permanent:

sudo firewall-cmd --zone=public --list-services --permanent

Output
cockpit dhcpv6-client http ssh

Ahora, su zona public permitirá tráfico web HTTP en el puerto 80. Si su servidor web está configurado para usar SSL/TLS, también querrá agregar el servicio https. Podemos agregarlo a la sesión actual y al conjunto de reglas permanentes escribiendo lo siguiente:

sudo firewall-cmd --zone=public --add-service=https
sudo firewall-cmd --zone=public --add-service=https --permanent

Los servicios que se incluyen con la instalación de firewalld representan muchas de las aplicaciones más frecuentes a las que podría querer permitir el acceso. Sin embargo, es probable que haya escenarios en los que estos servicios no se ajusten a sus requisitos.

En ese caso, tendrá dos opciones.

sudo firewall-cmd --zone=public --add-port=5000/tcp

Output
success

sudo firewall-cmd --zone=public --list-ports

Output
5000/tcp

sudo firewall-cmd --zone=public --add-port=4990-4999/udp

sudo firewall-cmd --zone=public --permanent --add-port=5000/tcp
sudo firewall-cmd --zone=public --permanent --add-port=4990-4999/udp
sudo firewall-cmd --zone=public --permanent --list-ports

Output
success
success
5000/tcp 4990-4999/udp

sudo cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/example.xml

sudo vi /etc/firewalld/services/example.xml

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>Example Service</short>
  <description>This is just an example service. It probably shouldn't be used on a real system.</description>
  <port protocol="tcp" port="7777"/>
  <port protocol="udp" port="8888"/>
</service>

sudo firewall-cmd --reload

firewall-cmd --get-services

Output
RH-Satellite-6 amanda-client amanda-k5-client amqp amqps apcupsd audit bacula bacula-client bb bgp bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc bittorrent-lsd ceph ceph-mon cfengine cockpit condor-collector ctdb dhcp dhcpv6 dhcpv6-client distcc dns dns-over-tls docker-registry docker-swarm dropbox-lansync elasticsearch etcd-client etcd-server example finger freeipa-4 freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master git grafana gre high-availability http https imap imaps ipp ipp-client ipsec irc ircs iscsi-target isns jenkins kadmin kdeconnect kerberos kibana klogin kpasswd kprop kshell ldap ldaps libvirt libvirt-tls lightning-network llmnr managesieve matrix mdns memcache minidlna mongodb mosh mountd mqtt mqtt-tls ms-wbt mssql murmur mysql nfs nfs3 nmea-0183 nrpe ntp nut openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole plex pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy prometheus proxy-dhcp ptp pulseaudio puppetmaster quassel radius rdp redis redis-sentinel rpc-bind rsh rsyncd rtsp salt-master samba samba-client samba-dc sane sip sips slp smtp smtp-submission smtps snmp snmptrap spideroak-lansync spotify-sync squid ssdp ssh steam-streaming svdrp svn syncthing syncthing-gui synergy syslog syslog-tls telnet tentacle tftp tftp-client tile38 tinc tor-socks transmission-client upnp-client vdsm vnc-server wbem-http wbem-https wsman wsmans xdmcp xmpp-bosh xmpp-client xmpp-local xmpp-server zabbix-agent zabbix-server