Asegurar las redes

Procedimiento

1. Inicie el demonio sshd en la sesión actual y configúrelo para que se inicie automáticamente al arrancar:

   # systemctl start sshd
   # systemctl enable sshd

   Copy to Clipboard Toggle word wrap

2. Para especificar direcciones diferentes a las predeterminadas 0.0.0.0 (IPv4) o :: (IPv6) para la directiva ListenAddress en el archivo de configuración /etc/ssh/sshd_config y utilizar una configuración de red dinámica más lenta, añada la dependencia de la unidad de destino network-online.target al archivo de unidad sshd.service. Para ello, cree el archivo /etc/systemd/system/sshd.service.d/local.conf con el siguiente contenido:

   [Unit]
   Wants=network-online.target
   After=network-online.target

   Copy to Clipboard Toggle word wrap
3. Revise si la configuración del servidor OpenSSH en el archivo de configuración /etc/ssh/sshd_config cumple con los requisitos de su escenario.

4. Opcionalmente, cambie el mensaje de bienvenida que su servidor OpenSSH muestra antes de que un cliente se autentique editando el archivo /etc/issue, por ejemplo:

   Welcome to ssh-server.example.com
   Warning: By accessing this server, you agree to the referenced terms and conditions.

   Copy to Clipboard Toggle word wrap

   Asegúrese de que la opción Banner no está comentada en /etc/ssh/sshd_config y su valor contiene /etc/issue:

   # less /etc/ssh/sshd_config | grep Banner
   Banner /etc/issue

   Copy to Clipboard Toggle word wrap

   Tenga en cuenta que para cambiar el mensaje que se muestra después de un inicio de sesión exitoso tiene que editar el archivo /etc/motd en el servidor. Consulte la página man pam_motd para obtener más información.

5. Vuelva a cargar la configuración de systemd y reinicie sshd para aplicar los cambios:

   # systemctl daemon-reload
   # systemctl restart sshd

   Copy to Clipboard Toggle word wrap

Pasos de verificación

1. Compruebe que el demonio sshd se está ejecutando:

   # systemctl status sshd
   ● sshd.service - OpenSSH server daemon
      Loaded: loaded (/usr/lib/systemd/system/sshd.service; enabled; vendor preset: enabled)
      Active: active (running) since Mon 2019-11-18 14:59:58 CET; 6min ago
        Docs: man:sshd(8)
              man:sshd_config(5)
    Main PID: 1149 (sshd)
       Tasks: 1 (limit: 11491)
      Memory: 1.9M
      CGroup: /system.slice/sshd.service
              └─1149 /usr/sbin/sshd -D -oCiphers=aes128-ctr,aes256-ctr,aes128-cbc,aes256-cbc -oMACs=hmac-sha2-256,>
   
   Nov 18 14:59:58 ssh-server-example.com systemd[1]: Starting OpenSSH server daemon...
   Nov 18 14:59:58 ssh-server-example.com sshd[1149]: Server listening on 0.0.0.0 port 22.
   Nov 18 14:59:58 ssh-server-example.com sshd[1149]: Server listening on :: port 22.
   Nov 18 14:59:58 ssh-server-example.com systemd[1]: Started OpenSSH server daemon.

   Copy to Clipboard Toggle word wrap

2. Conéctese al servidor SSH con un cliente SSH.

   # ssh user@ssh-server-example.com
   ECDSA key fingerprint is SHA256:dXbaS0RG/UzlTTku8GtXSz0S1++lPegSy31v3L/FAEc.
   Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
   Warning: Permanently added 'ssh-server-example.com' (ECDSA) to the list of known hosts.
   
   user@ssh-server-example.com's password:

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Enumerar todas las claves proporcionadas por el módulo PKCS #11 de OpenSC incluyendo sus URIs PKCS #11 y guardar el resultado en el archivo keys.pub:

   $ ssh-keygen -D pkcs11: > keys.pub
   $ ssh-keygen -D pkcs11:
   ssh-rsa AAAAB3NzaC1yc2E...KKZMzcQZzx pkcs11:id=%02;object=SIGN%20pubkey;token=SSH%20key;manufacturer=piv_II?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so
   ecdsa-sha2-nistp256 AAA...J0hkYnnsM= pkcs11:id=%01;object=PIV%20AUTH%20pubkey;token=SSH%20key;manufacturer=piv_II?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so

   Copy to Clipboard Toggle word wrap

2. Para habilitar la autenticación mediante una tarjeta inteligente en un servidor remoto (example.com), transfiera la clave pública al servidor remoto. Utilice el comando ssh-copy-id con keys.pub creado en el paso anterior:

   $ ssh-copy-id -f -i keys.pub username@example.com

   Copy to Clipboard Toggle word wrap

3. Para conectarse a example.com utilizando la clave ECDSA de la salida del comando ssh-keygen -D en el paso 1, puede utilizar sólo un subconjunto de la URI, que hace referencia a su clave de forma exclusiva, por ejemplo:

   $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" example.com
   Enter PIN for 'SSH key':
   [example.com] $

   Copy to Clipboard Toggle word wrap

4. Puede utilizar la misma cadena URI en el archivo ~/.ssh/config para que la configuración sea permanente:

   $ cat ~/.ssh/config
   IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
   $ ssh example.com
   Enter PIN for 'SSH key':
   [example.com] $

   Copy to Clipboard Toggle word wrap

   Dado que OpenSSH utiliza el wrapper p11-kit-proxy y el módulo PKCS #11 de OpenSC está registrado en PKCS#11 Kit, puede simplificar los comandos anteriores:

   $ ssh -i "pkcs11:id=%01" example.com
   Enter PIN for 'SSH key':
   [example.com] $

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Defina el host de salto editando el archivo ~/.ssh/config, por ejemplo:

   Host jump-server1
     HostName jump1.example.com

   Copy to Clipboard Toggle word wrap

2. Añada la configuración de salto del servidor remoto con la directiva ProxyJump a ~/.ssh/config, por ejemplo:

   Host remote-server
     HostName remote1.example.com
     ProxyJump jump-server1

   Copy to Clipboard Toggle word wrap

3. Conectar con el servidor remoto a través del servidor de salto:

   $ ssh remote-server

   Copy to Clipboard Toggle word wrap

   El comando anterior es equivalente al comando ssh -J jump-server1 remote-server si se omiten los pasos de configuración 1 y 2.

Procedimiento

1. Opcional: Compruebe que puede utilizar la clave para autenticarse en el host remoto:

   1. Conéctese al host remoto mediante SSH:

      $ ssh example.user1@198.51.100.1 hostname

      Copy to Clipboard Toggle word wrap

   2. Introduzca la frase de contraseña que estableció al crear la clave para dar acceso a la clave privada.

      $ ssh example.user1@198.51.100.1 hostname
       host.example.com

      Copy to Clipboard Toggle word wrap

2. Inicie el ssh-agent.

   $ eval $(ssh-agent)
   Agent pid 20062

   Copy to Clipboard Toggle word wrap

3. Añade la clave a ssh-agent.

   $ ssh-add ~/.ssh/id_rsa
   Enter passphrase for ~/.ssh/id_rsa:
   Identity added: ~/.ssh/id_rsa (example.user0@198.51.100.12)

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Instale los paquetes de libreswan:

   # yum install libreswan

   Copy to Clipboard Toggle word wrap

2. Si está reinstalando Libreswan, elimine sus antiguos archivos de base de datos:

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db

   Copy to Clipboard Toggle word wrap

3. Inicie el servicio ipsec, y habilite el servicio para que se inicie automáticamente al arrancar:

   # systemctl enable ipsec --now

   Copy to Clipboard Toggle word wrap

4. Configure el cortafuegos para permitir los puertos 500 y 4500/UDP para los protocolos IKE, ESP y AH añadiendo el servicio ipsec:

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Generar un par de claves RSA en cada host:

   # ipsec newhostkey --output /etc/ipsec.d/hostkey.secrets

   Copy to Clipboard Toggle word wrap

2. El paso anterior devolvió la clave generada ckaid. Utilice ese ckaid con el siguiente comando en left, por ejemplo:

   # ipsec showhostkey --left --ckaid 2d3ea57b61c9419dfd6cf43a1eb6cb306c0e857d

   Copy to Clipboard Toggle word wrap

   La salida del comando anterior generó la línea leftrsasigkey= necesaria para la configuración. Haga lo mismo en el segundo host (right):

   # ipsec showhostkey --right --ckaid a9e1f6ce9ecd3608c24e8f701318383f41798f03

   Copy to Clipboard Toggle word wrap

3. En el directorio /etc/ipsec.d/, cree un nuevo archivo my_host-to-host.conf. Escriba en el nuevo archivo las claves de host RSA de la salida de los comandos de ipsec showhostkey en el paso anterior. Por ejemplo:

   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard Toggle word wrap

4. Después de importar las claves, reinicie el servicio ipsec:

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

5. Inicio Libreswan:

   # ipsec setup start

   Copy to Clipboard Toggle word wrap

6. Cargue la conexión:

   # ipsec auto --add mytunnel

   Copy to Clipboard Toggle word wrap

7. Establece el túnel:

   # ipsec auto --up mytunnel

   Copy to Clipboard Toggle word wrap

8. Para iniciar automáticamente el túnel cuando se inicie el servicio ipsec, añada la siguiente línea a la definición de la conexión:

   auto=inicio

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Copie el archivo con la configuración de su VPN de host a host en un nuevo archivo, por ejemplo:

   # cp /etc/ipsec.d/my_host-to-host.conf /etc/ipsec.d/my_site-to-site.conf

   Copy to Clipboard Toggle word wrap

2. Añada la configuración de la subred al archivo creado en el paso anterior, por ejemplo:

   conn mysubnet
        also=mytunnel
        leftsubnet=192.0.1.0/24
        rightsubnet=192.0.2.0/24
        auto=start
   
   conn mysubnet6
        also=mytunnel
        leftsubnet=2001:db8:0:1::/64
        rightsubnet=2001:db8:0:2::/64
        auto=start
   
   # the following part of the configuration file is the same for both host-to-host and site-to-site connections:
   
   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard Toggle word wrap

Procedimiento

1. En cada nodo, importe los archivos PKCS #12. Este paso requiere la contraseña utilizada para generar los archivos PKCS #12:

   # ipsec import nodeXXX.p12

   Copy to Clipboard Toggle word wrap

2. Cree las siguientes tres definiciones de conexión para los perfiles IPsec required (privado), IPsec optional (privado o claro) y No IPsec (claro):

   # cat /etc/ipsec.d/mesh.conf
   conn clear
   	auto=ondemand
   	type=passthrough
   	authby=never
   	left=%defaultroute
   	right=%group
   
   conn private
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=drop
   	negotiationshunt=drop
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert
           leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup
   
   conn private-or-clear
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=passthrough
   	negotiationshunt=passthrough
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert
           leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup

   Copy to Clipboard Toggle word wrap

3. Añada la dirección IP de la red en la categoría adecuada. Por ejemplo, si todos los nodos residen en la red 10.15.0.0/16, y todos los nodos deben ordenar el cifrado IPsec:

   # echo "10.15.0.0/16" >> /etc/ipsec.d/policies/private

   Copy to Clipboard Toggle word wrap

4. Para permitir que ciertos nodos, por ejemplo, 10.15.34.0/24, trabajen con y sin IPsec, añada esos nodos al grupo de privados o limpios mediante:

   # echo "10.15.34.0/24" >> /etc/ipsec.d/policies/private-or-clear

   Copy to Clipboard Toggle word wrap

5. Para definir un host, por ejemplo, 10.15.1.2, que no es capaz de IPsec en el grupo claro, utilice:

   # echo "10.15.1.2/32" >> /etc/ipsec.d/policies/clear

   Copy to Clipboard Toggle word wrap

   Los archivos del directorio /etc/ipsec.d/policies se pueden crear a partir de una plantilla para cada nuevo nodo, o se pueden aprovisionar utilizando Puppet o Ansible.

   Tenga en cuenta que cada nodo tiene la misma lista de excepciones o diferentes expectativas de flujo de tráfico. Por lo tanto, dos nodos podrían no ser capaces de comunicarse porque uno requiere IPsec y el otro no puede utilizar IPsec.

6. Reinicie el nodo para añadirlo a la malla configurada:

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

7. Una vez que haya terminado con la adición de nodos, un comando ping es suficiente para abrir un túnel IPsec. Para ver qué túneles ha abierto un nodo:

   # ipsec trafficstatus

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Instale los paquetes de libreswan:

   # yum install libreswan

   Copy to Clipboard Toggle word wrap

2. Si está reinstalando Libreswan, elimine su antigua base de datos NSS:

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db

   Copy to Clipboard Toggle word wrap

3. Inicie el servicio ipsec, y habilite el servicio para que se inicie automáticamente al arrancar:

   # systemctl enable ipsec --now

   Copy to Clipboard Toggle word wrap

4. Configure el cortafuegos para permitir los puertos 500 y 4500/UDP para los protocolos IKE, ESP y AH añadiendo el servicio ipsec:

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

5. Cambie el sistema al modo FIPS en RHEL 8:

   # fips-mode-setup --enable

   Copy to Clipboard Toggle word wrap

6. Reinicie su sistema para permitir que el kernel cambie al modo FIPS:

   # reboot

   Copy to Clipboard Toggle word wrap

Pasos de verificación

1. Para confirmar que Libreswan funciona en modo FIPS:

   # ipsec whack --fipsstatus
   000 FIPS mode enabled

   Copy to Clipboard Toggle word wrap

2. También puede comprobar las entradas de la unidad ipsec en el diario systemd:

   $ journalctl -u ipsec
   ...
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Product: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Kernel: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Mode: YES

   Copy to Clipboard Toggle word wrap

3. Para ver los algoritmos disponibles en el modo FIPS:

   # ipsec pluto --selftest 2>&1 | head -11
   FIPS Product: YES
   FIPS Kernel: YES
   FIPS Mode: YES
   NSS DB directory: sql:/etc/ipsec.d
   Initializing NSS
   Opening NSS database "sql:/etc/ipsec.d" read-only
   NSS initialized
   NSS crypto library initialized
   FIPS HMAC integrity support [enabled]
   FIPS mode enabled for pluto daemon
   NSS library is running in FIPS mode
   FIPS HMAC integrity verification self-test passed

   Copy to Clipboard Toggle word wrap

4. Para consultar los algoritmos desactivados en el modo FIPS:

   # ipsec pluto --selftest 2>&1 | grep disabled
   Encryption algorithm CAMELLIA_CTR disabled; not FIPS compliant
   Encryption algorithm CAMELLIA_CBC disabled; not FIPS compliant
   Encryption algorithm SERPENT_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_SSH disabled; not FIPS compliant
   Encryption algorithm NULL disabled; not FIPS compliant
   Encryption algorithm CHACHA20_POLY1305 disabled; not FIPS compliant
   Hash algorithm MD5 disabled; not FIPS compliant
   PRF algorithm HMAC_MD5 disabled; not FIPS compliant
   PRF algorithm AES_XCBC disabled; not FIPS compliant
   Integrity algorithm HMAC_MD5_96 disabled; not FIPS compliant
   Integrity algorithm HMAC_SHA2_256_TRUNCBUG disabled; not FIPS compliant
   Integrity algorithm AES_XCBC_96 disabled; not FIPS compliant
   DH algorithm MODP1024 disabled; not FIPS compliant
   DH algorithm MODP1536 disabled; not FIPS compliant
   DH algorithm DH31 disabled; not FIPS compliant

   Copy to Clipboard Toggle word wrap

5. Para listar todos los algoritmos y cifrados permitidos en el modo FIPS:

   # ipsec pluto --selftest 2>&1 | grep ESP | grep FIPS | sed "s/^.*FIPS//"
   {256,192,*128}  aes_ccm, aes_ccm_c
   {256,192,*128}  aes_ccm_b
   {256,192,*128}  aes_ccm_a
   [*192]  3des
   {256,192,*128}  aes_gcm, aes_gcm_c
   {256,192,*128}  aes_gcm_b
   {256,192,*128}  aes_gcm_a
   {256,192,*128}  aesctr
   {256,192,*128}  aes
   {256,192,*128}  aes_gmac
   sha, sha1, sha1_96, hmac_sha1
   sha512, sha2_512, sha2_512_256, hmac_sha2_512
   sha384, sha2_384, sha2_384_192, hmac_sha2_384
   sha2, sha256, sha2_256, sha2_256_128, hmac_sha2_256
   aes_cmac
   null
   null, dh0
   dh14
   dh15
   dh16
   dh17
   dh18
   ecp_256, ecp256
   ecp_384, ecp384
   ecp_521, ecp521

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Activar la protección por contraseña de la base de datos NSS para Libreswan:

   # certutil -N -d sql:/etc/ipsec.d
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:

   Copy to Clipboard Toggle word wrap

2. Cree el archivo /etc/ipsec.d/nsspassword con la contraseña que ha establecido en el paso anterior, por ejemplo:

   # cat /etc/ipsec.d/nsspassword
   NSS Certificate DB:MyStrongPasswordHere

   Copy to Clipboard Toggle word wrap

   Tenga en cuenta que el archivo nsspassword utiliza la siguiente sintaxis:

   token_1_name:the_password
   token_2_name:the_password

   Copy to Clipboard Toggle word wrap

   El token de software NSS por defecto es NSS Certificate DB. Si su sistema funciona en modo FIPS, el nombre del token es NSS FIPS 140-2 Certificate DB.

3. Dependiendo de su escenario, inicie o reinicie el servicio ipsec después de terminar el archivo nsspassword:

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

Pasos de verificación

1. Compruebe que el servicio ipsec está funcionando después de haber añadido una contraseña no vacía a su base de datos NSS:

   # systemctl status ipsec
   ● ipsec.service - Internet Key Exchange (IKE) Protocol Daemon for IPsec
      Loaded: loaded (/usr/lib/systemd/system/ipsec.service; enabled; vendor preset: disable>
      Active: active (running)...

   Copy to Clipboard Toggle word wrap

2. Opcionalmente, compruebe que el registro Journal contiene entradas que confirman una inicialización exitosa:

   # journalctl -u ipsec
   ...
   pluto[23001]: NSS DB directory: sql:/etc/ipsec.d
   pluto[23001]: Initializing NSS
   pluto[23001]: Opening NSS database "sql:/etc/ipsec.d" read-only
   pluto[23001]: NSS Password from file "/etc/ipsec.d/nsspassword" for token "NSS Certificate DB" with length 20 passed to NSS
   pluto[23001]: NSS crypto library initialized
   ...

   Copy to Clipboard Toggle word wrap

1. Vuelva a cargar la conexión vpn.example.com:

   # ipsec auto --add vpn.example.com
   002 added connection description "vpn.example.com"

   Copy to Clipboard Toggle word wrap

2. A continuación, inicie la conexión VPN:

   # ipsec auto --up vpn.example.com

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Para añadir una nueva conexión utilizando nmcli, introduzca:

   ~]# nmcli connection add type macsec \
     con-name test-macsec+ ifname macsec0 \
     connection.autoconnect no \
     macsec.parent enp1s0 macsec.mode psk \
     macsec.mka-cak $MKA_CAK \
     macsec.mka-ckn $MKA_CKN

   Copy to Clipboard Toggle word wrap

   Sustituya macsec0 por el nombre del dispositivo que desea configurar.

2. Para activar la conexión, introduzca:

   ~]# nmcli connection up test-macsec

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Crea un par CAK/CKN. Por ejemplo, el siguiente comando genera una clave de 16 bytes en notación hexadecimal:

   ~]$ dd if=/dev/urandom count=16 bs=1 2> /dev/null | hexdump -e '1/2 "%02x"'

   Copy to Clipboard Toggle word wrap

2. Cree el archivo de configuración wpa_supplicant.conf y añada las siguientes líneas:

   ctrl_interface=/var/run/wpa_supplicant
   eapol_version=3
   ap_scan=0
   fast_reauth=1
   
   network={
       key_mgmt=NONE
       eapol_flags=0
       macsec_policy=1
   
       mka_cak=0011... # 16 bytes hexadecimal
       mka_ckn=2233... # 32 bytes hexadecimal
   }

   Copy to Clipboard Toggle word wrap

   Utilice los valores del paso anterior para completar las líneas mka_cak y mka_ckn en el archivo de configuración wpa_supplicant.conf.

   Para más información, consulte la página de manual wpa_supplicant.conf(5).

3. Asumiendo que está usando wlp61s0 para conectarse a su red, inicie wpa_supplicant utilizando el siguiente comando:

   ~]# wpa_supplicant -i wlp61s0 -Dmacsec_linux -c wpa_supplicant.conf

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Introduzca el siguiente comando como root:

   # yum install firewall-config

   Copy to Clipboard Toggle word wrap

   Alternativamente, en GNOME, use the Super key and type `Software para iniciar la aplicación Software Sources. Escriba firewall en el cuadro de búsqueda, que aparece después de seleccionar el botón de búsqueda en la esquina superior derecha. Seleccione el elemento Firewall de los resultados de la búsqueda y haga clic en el botón Instalar.

2. Para ejecutar firewall-config, utilice el comando firewall-config o pulse la tecla Super para entrar en Activities Overview, escriba firewall y pulse Enter.

Procedimiento

1. Para iniciar firewalld, introduzca el siguiente comando como root:

   # systemctl unmask firewalld
   # systemctl start firewalld

   Copy to Clipboard Toggle word wrap

2. Para garantizar que firewalld se inicie automáticamente al arrancar el sistema, introduzca el siguiente comando como root:

   # systemctl enable firewalld

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Para detener firewalld, introduzca el siguiente comando como root:

   # systemctl stop firewalld

   Copy to Clipboard Toggle word wrap

2. Para evitar que firewalld se inicie automáticamente al arrancar el sistema:

   # systemctl disable firewalld

   Copy to Clipboard Toggle word wrap

3. Para asegurarse de que firewalld no se inicia accediendo a la interfaz firewalld D-Bus y también si otros servicios requieren firewalld:

   # systemctl mask firewalld

   Copy to Clipboard Toggle word wrap

1. Cambie la configuración de tiempo de ejecución y luego hágala permanente de la siguiente manera:

   # firewall-cmd <other options>
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

2. Establezca los ajustes permanentes y recargue los ajustes en el modo de ejecución:

   # firewall-cmd --permanent <other options>
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

Procedimiento

1. Verifique la configuración permanente del servicio firewalld:

   # firewall-cmd --check-config
   success

   Copy to Clipboard Toggle word wrap

   Si la configuración permanente es válida, el comando devuelve success. En otros casos, el comando devuelve un error con más detalles, como el siguiente:

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

   Copy to Clipboard Toggle word wrap