Como configurar um firewall usando o firewalld no CentOS 8

O daemon do firewalld gerencia grupos de regras usando entidades chamadas de zonas. As zonas são conjuntos de regras que ditam qual tráfego deve ser permitido, dependendo do nível de confiança que você tem na rede. As interfaces de rede são atribuídas a uma zona para ditar o comportamento que o firewall deve permitir.

Para computadores que possam se mover frequentemente entre redes (como notebooks), esse tipo de flexibilidade fornece um bom método para alterar suas regras, a depender do seu ambiente. Pode ser que você tenha regras rigorosas em funcionamento, proibindo a maioria do tráfego ao operar em uma rede Wi-Fi pública, ao mesmo tempo que permite restrições mais brandas ao se conectar à sua rede local. Para um servidor, essas zonas geralmente não são tão importantes, pois o ambiente de rede raramente muda - se é que muda em algum momento.

Independentemente do quão dinâmico possa ser seu ambiente de rede, ainda é útil se familiarizar com a ideia geral por trás de cada uma das zonas pré-definidas para o firewalld. As zonas pré-definidas dentro do firewalld são ordenadas das menos confiáveis para as mais confiáveis:

• drop: o nível de confiança mais baixo. Todas as conexões de entrada são interrompidas sem resposta e apenas são possíveis conexões de saída.
• block: parecido com a anterior, mas, em vez de simplesmente interromper as conexões, as solicitações de entrada são rejeitadas com uma mensagem de icmp-host-prohibited ou icmp6-adm-prohibited.
• public: representa redes públicas e não confiáveis. Você não confia em outros computadores, mas pode permitir conexões de entrada, selecionadas caso de caso.
• external: redes externas, no caso de você estar usando o firewall como seu gateway. Ela está configurada para o mascaramento de NAT, para que sua rede interna permaneça privada, mas acessível.
• internal: o outro lado da zona externa, usada para a porção interna de um gateway. Os computadores são relativamente confiáveis e alguns serviços adicionais estão disponíveis.
• dmz: usada para computadores localizados em uma DMZ (computadores isolados que não terão acesso ao resto de sua rede). Só são permitidas certas conexões de entrada.
• work: usada para máquinas de trabalho. Confia na maioria dos computadores na rede. Podem ser permitidos alguns serviços adicionais.
• home: um ambiente local. Geralmente, isso significa que você confia na maioria dos outros computadores e que alguns outros serviços serão aceitos.
• trusted: confia em todas as máquinas na rede. A mais aberta das opções disponíveis e deve ser usada com moderação.

Para usar o firewall, podemos criar regras e alterar as propriedades de nossas zonas. Em seguida, atribuímos nossas interfaces de rede às zonas que sejam mais apropriadas.

No firewalld, as regras podem ser aplicadas ao conjunto de regras tempo de execução atual, ou definidas como permanentes. Quando uma regra é adicionada ou modificada, por padrão, apenas o firewall atualmente em execução é modificado. Após a próxima reinicialização – ou quando o serviço do firewalld é recarregado – apenas as regras permanentes permanecerão.

A maioria das operações do firewall-cmd pode usar um sinalizador --permanent para indicar que as alterações devem ser aplicadas na configuração permanente. Além disso, o firewall atualmente em execução pode ser salvo na configuração permanente com o comando firewall-cmd --runtime-to-permanent.

Essa separação das configurações do tempo de execução vs permanentes significa que você pode testar as regras com segurança em seu firewall ativo e, em seguida, recarregar para começar novamente, caso haja problemas.

Podemos ver qual zona está atualmente selecionada como padrão, digitando:

firewall-cmd --get-default-zone

Output
public

Uma vez que não demos ao firewalld nenhum comando para se desviar da zona padrão e nenhuma das nossas interfaces foi configurada para se vincular a outra zona, tal zona também será a única zona ativa (ou seja, a zona que está controlando o tráfego para nossas interfaces). Podemos verificar isso, digitando:

firewall-cmd --get-active-zones

Output
public
  interfaces: eth0 eth1

Aqui, podemos ver que nosso servidor de exemplo tem duas interfaces de rede sendo controladas pelo firewall (eth0 eth1). Ambas estão sendo gerenciadas de acordo com as regras definidas para a zona pública.

No entanto, como fazemos para saber quais regras estão associadas à zona pública? Podemos imprimir a configuração da zona padrão, digitando:

sudo firewall-cmd --list-all

Output
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0 eth1
  sources:
  services: cockpit dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

Vendo o resultado, podemos dizer que essa zona é a padrão e que está ativa, bem como que as interfaces eth0 e eth1 estão associadas a essa zona (já sabíamos tudo isso pelas nossas consultas anteriores). No entanto, podemos ver também que essa zona permite o tráfego para um cliente DHCP (para atribuição de endereço IP), SSH (para administração remota) e Cockpit (um console baseado em Web).

Agora, temos uma boa noção sobre a configuração da zona padrão e da zona ativa. Também somos capazes de encontrar informações sobre outras zonas.

Para obter uma lista das zonas disponíveis, digite:

firewall-cmd --get-zones

Output
block dmz drop external home internal public trusted work

Podemos ver a configuração específica associada a uma zona, incluindo o parâmetro --zone= em nosso comando --list-all:

sudo firewall-cmd --zone=home --list-all

Output
home
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: cockpit dhcpv6-client mdns samba-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

Você pode gerar como resultado todas as definições de zona, usando a opção --list-all-zones. Provavelmente, você irá querer canalizar o resultado para um pager para facilitar a visualização:

sudo firewall-cmd --list-all-zones | less

Em seguida, vamos aprender sobre como atribuir zonas às interfaces de rede.

É possível mover uma interface entre zonas durante uma sessão, usando o parâmetro --zone= em combinação com o parâmetro --change-interface=. Assim como acontece com todos os comandos que modificam o firewall, você precisará usar o sudo.

Por exemplo, podemos mover nossa interface eth0 para a zona local, digitando o seguinte:

sudo firewall-cmd --zone=home --change-interface=eth0

Output
success

Podemos verificar se isso foi bem-sucedido, pedindo pelas zonas ativas novamente:

firewall-cmd --get-active-zones

Output
home
  interfaces: eth0
public
  interfaces: eth1

Se todas as suas interfaces puderem ser bem gerenciadas por uma única zona, provavelmente, o mais fácil seja, simplesmente, designar a melhor zona como sendo a padrão e, em seguida, usá-la para a sua configuração.

Você pode alterar a zona padrão com o parâmetro --set-default-zone=. Isso mudará de imediato qualquer interface que esteja usando a zona padrão:

sudo firewall-cmd --set-default-zone=home

Output
success

O método mais simples é adicionar os serviços ou portas que você precisa às zonas que está usando. Você pode obter uma lista das definições de serviço disponíveis com a opção --get-services:

firewall-cmd --get-services

Output
RH-Satellite-6 amanda-client amanda-k5-client amqp amqps apcupsd audit bacula bacula-client bb bgp bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc bittorrent-lsd ceph ceph-mon cfengine cockpit condor-collector ctdb dhcp dhcpv6 dhcpv6-client distcc dns dns-over-tls docker-registry docker-swarm dropbox-lansync elasticsearch etcd-client etcd-server finger freeipa-4 freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master git grafana gre high-availability http https imap imaps ipp ipp-client ipsec irc ircs iscsi-target isns jenkins kadmin kdeconnect kerberos kibana klogin kpasswd kprop kshell ldap ldaps libvirt libvirt-tls lightning-network llmnr managesieve matrix mdns memcache minidlna mongodb mosh mountd mqtt mqtt-tls ms-wbt mssql murmur mysql nfs nfs3 nmea-0183 nrpe ntp nut openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole plex pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy prometheus proxy-dhcp ptp pulseaudio puppetmaster quassel radius rdp redis redis-sentinel rpc-bind rsh rsyncd rtsp salt-master samba samba-client samba-dc sane sip sips slp smtp smtp-submission smtps snmp snmptrap spideroak-lansync spotify-sync squid ssdp ssh steam-streaming svdrp svn syncthing syncthing-gui synergy syslog syslog-tls telnet tentacle tftp tftp-client tile38 tinc tor-socks transmission-client upnp-client vdsm vnc-server wbem-http wbem-https wsman wsmans xdmcp xmpp-bosh xmpp-client xmpp-local xmpp-server zabbix-agent zabbix-server

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

Você pode habilitar um serviço para uma zona usando o parâmetro --add-service=. A operação terá como alvo a zona padrão ou a zona que estiver especificada pelo parâmetro --zone=. Por padrão, isso ajustará apenas a sessão atual do firewall. Você pode ajustar a configuração permanente do firewall, incluindo o sinalizador --permanent.

Se estivermos executando um servidor Web que atende o tráfego HTTP convencional, por exemplo, podemos temporariamente permitir esse tráfego para interfaces em nossa zona pública, digitando:

sudo firewall-cmd --zone=public --add-service=http

Você pode deixar o sinalizador --zone= de fora caso deseje modificar a zona padrão. Podemos verificar se a operação foi bem-sucedida, usando as operações --list-all ou --list-services:

sudo firewall-cmd --zone=public --list-services

Output
cockpit dhcpv6-client http ssh

Assim que tiver testado se tudo está funcionando como deveria, você provavelmente vai querer modificar as regras permanentes do firewall, de modo que seu serviço ainda esteja disponível após uma reinicialização. Podemos tornar a nossa mudança anterior permanente, digitando-a novamente e adicionando o sinalizador --permanent:

sudo firewall-cmd --zone=public --add-service=http --permanent

Output
success

De maneira alternativa, você poderia usar o sinalizador --runtime-to-permanent para salvar a configuração de firewall atualmente em execução na configuração permanente:

sudo firewall-cmd --runtime-to-permanent

Tome cuidado com isso, já que todas as alterações feitas no firewall em execução serão instauradas de maneira permanente.

Independentemente do método que você escolher, você poderá verificar se ele foi bem-sucedido, adicionando o sinalizador --permanent na operação --list-services. Você precisa usar o sudo para toda operação --permanent:

sudo firewall-cmd --zone=public --list-services --permanent

Output
cockpit dhcpv6-client http ssh

Sua zona pública agora permitirá o tráfego Web HTTP na porta 80. Caso seu servidor Web estiver configurado para usar SSL/TLS, você também vai querer adicionar o serviço https. Podemos adicionar isso à sessão atual e ao conjunto de regras permanentes, digitando:

sudo firewall-cmd --zone=public --add-service=https
sudo firewall-cmd --zone=public --add-service=https --permanent

Os serviços incluídos na instalação do firewalld representam muitos dos aplicativos mais comuns para os quais você pode querer permitir o acesso. No entanto, é provável que haja cenários onde esses serviços não se encaixem em seus requisitos.

Nessa situação, você tem duas opções.

sudo firewall-cmd --zone=public --add-port=5000/tcp

Output
success

sudo firewall-cmd --zone=public --list-ports

Output
5000/tcp

sudo firewall-cmd --zone=public --add-port=4990-4999/udp

sudo firewall-cmd --zone=public --permanent --add-port=5000/tcp
sudo firewall-cmd --zone=public --permanent --add-port=4990-4999/udp
sudo firewall-cmd --zone=public --permanent --list-ports

Output
success
success
5000/tcp 4990-4999/udp

sudo cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/example.xml

sudo vi /etc/firewalld/services/example.xml

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>SSH</short>
  <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description>
  <port protocol="tcp" port="22"/>
</service>

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>Example Service</short>
  <description>This is just an example service. It probably shouldn't be used on a real system.</description>
  <port protocol="tcp" port="7777"/>
  <port protocol="udp" port="8888"/>
</service>

sudo firewall-cmd --reload

firewall-cmd --get-services

Output
RH-Satellite-6 amanda-client amanda-k5-client amqp amqps apcupsd audit bacula bacula-client bb bgp bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc bittorrent-lsd ceph ceph-mon cfengine cockpit condor-collector ctdb dhcp dhcpv6 dhcpv6-client distcc dns dns-over-tls docker-registry docker-swarm dropbox-lansync elasticsearch etcd-client etcd-server example finger freeipa-4 freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master git grafana gre high-availability http https imap imaps ipp ipp-client ipsec irc ircs iscsi-target isns jenkins kadmin kdeconnect kerberos kibana klogin kpasswd kprop kshell ldap ldaps libvirt libvirt-tls lightning-network llmnr managesieve matrix mdns memcache minidlna mongodb mosh mountd mqtt mqtt-tls ms-wbt mssql murmur mysql nfs nfs3 nmea-0183 nrpe ntp nut openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole plex pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy prometheus proxy-dhcp ptp pulseaudio puppetmaster quassel radius rdp redis redis-sentinel rpc-bind rsh rsyncd rtsp salt-master samba samba-client samba-dc sane sip sips slp smtp smtp-submission smtps snmp snmptrap spideroak-lansync spotify-sync squid ssdp ssh steam-streaming svdrp svn syncthing syncthing-gui synergy syslog syslog-tls telnet tentacle tftp tftp-client tile38 tinc tor-socks transmission-client upnp-client vdsm vnc-server wbem-http wbem-https wsman wsmans xdmcp xmpp-bosh xmpp-client xmpp-local xmpp-server zabbix-agent zabbix-server