====== Общие команды для управления firewalld ======
Посмотреть состояние:
<code bash>firewall-cmd --state</code>
Мягко перечитать правила (применить настройки):
<code bash>firewall-cmd --reload</code>
Перечитать правила и сбросить текущие подключения:
<code bash>firewall-cmd --complete-reload</code>
<note important>В официальной документации сказано, что данную команду стоит применять только в случаях проблем с firewalld.</note>
Посмотреть созданные правила:
<code bash>firewall-cmd --list-all</code>
Остановить службу:
<code bash>systemctl stop firewalld</code>
Запустить сервис:
<code bash>systemctl start firewalld</code>
Запретить автозапуск:
<code bash>systemctl disable firewalld</code>
Разрешить автозапуск:
<code bash>systemctl enable firewalld</code>
Сохранить текущие правила, сделав их постоянными (permanent):
<code bash>firewall-cmd --runtime-to-permanent</code>
====== Управление правилами ======
===== Синтаксис =====
Общий синтаксис для работы с правилами:
<code bash>firewall-cmd [опции] [зона] <правило></code>
<note important>Порядок следования параметров не важен.\\
где:
  * **[опции]** — дополнительные параметры для создаваемого правила, например --permanent — постоянное правило, то есть будет действовать после перезагрузки. Не обязательный.
  * **[зона]** — по умолчанию, правила создаются для зоны public. Для работы с конкретной зоной ее необходимо указать, например, --zone=dmz. Не обязательный.
  * **<правило>** — само правило. Обязательный.
</note>
Чтобы правила применялись, не забываем их перечитывать:
<code bash>firewall-cmd --reload</code>
==== Добавление портов ====
Открыть порт 80:
<code bash>firewall-cmd --permanent --add-port=80/tcp</code>
<note tip>где ключ **--permanent** — добавить постоянное правило (будет действовать после перезагрузки).</note>
Добавить правило для определенной зоны:
<code bash>firewall-cmd --permanent --zone=external --add-port=80/tcp</code>
Добавить диапазон портов:
<code bash>firewall-cmd --permanent --add-port=6500-6700/udp</code>
Добавить несколько правил одной командой:
<code bash>firewall-cmd --permanent --add-port=80/tcp --add-port=443/tcp</code>
==== Добавление сервиса ====
Использование служб, вместо портов, может повысить удобство управления правилами за счет объединения нескольких портов в одну службу.\\
Посмотреть список доступных служб:
<code bash>firewall-cmd --get-services</code>
Разрешить порт, например, для сервиса ntp:
<code bash>firewall-cmd --permanent --add-service=ntp</code>
Создать собственную службу:
<code bash>firewall-cmd --permanent --new-service=name-service</code>
<note>где **name-service** — произвольное имя создаваемой службы.</note>
Добавить порт, например TCP 2200 к службе:
<code bash>firewall-cmd --permanent --service=name-service --add-port=2200/tcp</code>
Задать описание для удобства:
<code bash>firewall-cmd --permanent --service=name-service --set-short="Service With This Name"</code>
<code bash>firewall-cmd --permanent --service=name-service --set-description="Long Description For Service With This Name"</code>
Информацию о созданном сервисе можно получить командой:
<code bash>firewall-cmd --info-service=name-service</code>
Теперь созданную службу можно использовать для создания правил, например:
<code bash>firewall-cmd --permanent --add-service=name-service</code>
==== Rich-Rule ====
**rich-rule** позволяет создавать правила с условиями. Рассмотрим несколько примеров:\\
1. Разрешаем службу http с условием, что запросы будут с определенных IP-адресов (подсети 192.168.0):
<code bash>firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source address="192.168.0.0/24" service name="http" accept'</code>
2. Или для конкретного порта:
<code bash>firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source address="192.168.0.0/24" port port="5038" protocol="tcp" accept'</code>
3. Чтобы заблокировать подсеть можно воспользоваться командой:
<code bash>firewall-cmd --permanent --add-rich-rule="rule family='ipv4' source address='192.168.1.0/24' reject"</code>
Список правил с условиями можно отобразить командой:
<code bash>firewall-cmd --list-rich-rules</code>
==== Удаление правил ====
Аналогично созданию, но вместо add вводим remove, например --remove-port (удалит порт) или --remove-service (службу).\\
Удалим правило для открытия 80-о порта:
<code bash>firewall-cmd --permanent --remove-port=80/tcp</code>
===== Управление зонами =====
Все правила в firewalld могут быть разбиты по зонам. Для каждой свой набор правил и свои сетевые интерфейсы. Это нужно использовать, если мы захотим для разных сетевых адаптеров сделать разные по строгости правила.\\
Посмотреть список всех имеющихся зон:
<code bash>firewall-cmd --list-all-zones</code>
Посмотреть список используемых зон:
<code bash>firewall-cmd --get-active-zones</code>
Информация о конкретной зоне:
<code bash>firewall-cmd --list-all --zone=public</code>
Создать правило для зоны public:
<code bash>firewall-cmd --permanent --zone=public --add-port=80/tcp</code>
Добавить сетевой интерфейс в зону:
<code bash>firewall-cmd --permanent --zone=public --remove-interface=ens34</code>
<code bash>firewall-cmd --permanent --zone=internal --add-interface=ens34</code>
<note tip>Сначала нужно удалить адаптер из текущей зоны. </note>
Задать действие по умолчанию для зоны:
<code bash>firewall-cmd --permanent --zone=public --set-target=DROP</code>
Создать новую зону:
<code bash>firewall-cmd --permanent --new-zone=custom_zone</code>
<code bash>firewall-cmd --reload</code>
<note important>Чтобы система увидела новую зону custom_zone, команда reload обязательная.</note>
====== Пример настройки NAT (шлюза) ======
Включить маскарадинг:
<code bash>firewall-cmd --permanent --zone=dmz --add-masquerade</code>
<note important>Без указания зон, будет включен для public и external.</note>
Для примера берем два ethernet интерфейса — ens32 (внутренний) и ens33 (внешний). Для настройки nat последовательно вводим следующие 4 команды:
<code bash>firewall-cmd --permanent --direct --add-rule ipv4 nat POSTROUTING 0 -o ens33 -j MASQUERADE</code>
<note warning>правило включает маскарадинг на внешнем интерфейсе ens33. Где опция **--direct** требуется перед всеми пользовательскими правилами (--passthrough, --add-chain, --remove-chain, --query-chain, --get-chains, --add-rule, --remove-rule, --query-rule, --get-rules); **nat** — таблица, в которую стоит добавить правило; **POSTROUTING 0** — цепочка в таблице nat; опция **MASQUERADE** указывает сетевому экрану менять внутренний IP-адрес на внешний.</note>
<code bash>firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens32 -o ens33 -j ACCEPT</code>
<note tip>Добавляет в таблицу **filter** (цепочку **FORWARD**) правило, позволяющее хождение трафика с **ens32** на **ens33**.</note>
<code bash>firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens33 -o ens32 -m state --state RELATED,ESTABLISHED -j ACCEPT</code>
<note tip>добавляет правило в таблицу **filter** (цепочку **FORWARD**), позволяющее хождение трафика с **ens33** на **ens32** для пакетов, открывающих новый сеанс, который связан с уже открытым другим сеансом (**RELATED**) и пакетов, которые уже являются частью существующего сеанса (**ESTABLISHED**).</note>
<code bash>systemctl restart firewalld</code>
<note important>для того, чтобы сервер CentOS заработал в качестве шлюза, также необходимо настроить ядро.</note>
Для просмотра созданных данным способом правил используем команду:
<code bash>firewall-cmd --direct --get-all-rules</code>
===== Проброс портов =====
Проброс настраивается со следующим синтаксисом:
<code bash>firewall-cmd --add-forward-port=port=<порт прослушивания>:proto=tcp|udp|sctp|dccp:toport=<порт назначения>:toaddr=<куда перенаправить></code>
Например:
<code bash>firewall-cmd --zone=external --permanent --add-forward-port=port=25:proto=tcp:toport=8025:toaddr=192.168.0.15</code>
<note> в данном примере мы будем слушать запросы на порту **25** и передодить их на узел **192.168.0.15** и порт **8025**.</note>
===== Запретить или разрешить трафик между интерфейсами =====
Предположим, у нас есть два внутренних сетевых интерфейса ens35 и ens36. Мы хотим контролировать трафик между ними.
==== Запретить ====
Применяется в случаях, когда на сервере включен FORWARD, но необходимо блокировать трафик между определенными сегменами сети.\\
Вводим следующие команды:
<code bash>firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens35 -o ens36 -j DROP</code>
<code bash>firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens36 -o ens35 -j DROP</code>
==== Разрешить ====
Применяется в случаях, когда интерфейсы находятся в зонах, где по умолчанию, трафик блокируется.\\
Для разрешения команды, практически, аналогичные:
<code bash>firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens35 -o ens36 -j ACCEPT</code>
<code bash>firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens36 -o ens35 -j ACCEPT</code>
==== Разрешить трафик в одном направлении ====
В предыдущих примерах мы разрешали трафик в обоих направлениях. Если необходимо сделать так, чтобы только сеть ens35 видела сеть ens36, вводим одну команду:
<code bash>firewall-cmd --direct --permanent --add-rule ipv4 filter FORWARD 0 -i ens35 -o ens36 -j ACCEPT</code>
====== Возможные проблемы при работе с firewalld ======
===== Ошибка command not found (команда не найдена). =====
Возможные причины: не установлен пакет или не запущена служба.\\
Выполняем установку пакета firewalld:
<code bash>yum install firewalld firewall-config</code>
Запускаем службу:
<code bash>systemctl start firewalld</code>
===== Не применяются правила. =====
Причина: не введена команда перезапуска правил.
Перечитываем правила:
<code bash>firewall-cmd --reload</code>
Если это не помогло, делаем перезапуск со сбросом подключений:
<code bash>firewall-cmd --complete-reload</code>
В некоторых случаях, необходимо перезапустить сетевые службы:
<code bash>systemctl restart network</code>
В исключительных случаях, перезагружаем компьютер:
<code bash>shutdown -r now</code>
===== The interface is under control of NetworkManager and already bound to the default zone. =====
Ошибка появляется при попытке удалить интерфейс из зоны, настройками которого управляет NetworkManager.\\
Для решения открываем конфигурационный файл для настройки сетевого интерфейса, например:
<code bash>vi /etc/sysconfig/network-scripts/ifcfg-ens34</code>
И дописываем следующее:
<code bash>ZONE=external</code>
<note>В данном примере сетевой интерфейс ens34 будет добавлен в зону external.</note>
Перезагружаем сетевую службу:
<code bash>systemctl restart network</code>