ネットワークのセキュリティー保護

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: SSH server configuration
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure sshd to prevent root and password login except from particular subnet
         ansible.builtin.include_role:
           name: rhel-system-roles.sshd
         vars:
           sshd:
             PermitRootLogin: no
             PasswordAuthentication: no
             Match:
               - Condition: "Address 192.0.2.0/24"
                 PermitRootLogin: yes
                 PasswordAuthentication: yes

   サンプル Playbook で指定されている設定は次のとおりです。

   PasswordAuthentication: yes|no

   ユーザー名とパスワードの組み合わせを使用するクライアントからの認証を OpenSSH サーバー (sshd) が受け入れるかどうかを制御します。

   Match:

   Match ブロックで、サブネット 192.0.2.0/24 からのパスワードを使用した root ユーザーログインだけを許可しています。

   Playbook で使用されるロール変数と OpenSSH 設定オプションの詳細は、/usr/share/ansible/roles/rhel-system-roles.sshd/README.md ファイルと、コントロールノードの sshd_config(5) man ページを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

検証

1. SSH サーバーにログインします。

   $ ssh <username>@<ssh_server>

2. SSH サーバー上の sshd_config ファイルの内容を確認します。

   $ cat /etc/ssh/sshd_config
   ...
   PasswordAuthentication no
   PermitRootLogin no
   ...
   Match Address 192.0.2.0/24
     PasswordAuthentication yes
     PermitRootLogin yes
   ...

3. 192.0.2.0/24 サブネットから root としてサーバーに接続できることを確認します。

   1. IP アドレスを確認します。

      $ hostname -I
      192.0.2.1

      IP アドレスが 192.0.2.1 - 192.0.2.254 範囲にある場合は、サーバーに接続できます。

   2. root でサーバーに接続します。

      $ ssh root@<ssh_server>

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: SSH client configuration
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure ssh clients
         ansible.builtin.include_role:
           name: rhel-system-roles.ssh
         vars:
           ssh_user: root
           ssh:
             Compression: true
             GSSAPIAuthentication: no
             ControlMaster: auto
             ControlPath: ~/.ssh/.cm%C
             Host:
               - Condition: example
                 Hostname: server.example.com
                 User: user1
           ssh_ForwardX11: no

   サンプル Playbook で指定されている設定は次のとおりです。

   ssh_user: root

   特定の設定の詳細を使用して、管理対象ノード上の root ユーザーの SSH クライアント設定を指定します。

   Compression: true

   圧縮が有効になります。

   ControlMaster: auto

   ControlMaster の多重化が auto に設定されます。

   Host

   user1 というユーザーとして server.example.com ホストに接続するためのエイリアス example を作成します。

   ssh_ForwardX11: no

   X11 転送が無効になります。

   Playbook で使用されるロール変数と OpenSSH 設定オプションの詳細は、/usr/share/ansible/roles/rhel-system-roles.ssh/README.md ファイルと、コントロールノードの ssh_config(5) man ページを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   • RHEL 8 以前を実行する管理対象ノードの場合:

     ---
     - name: Non-exclusive sshd configuration
       hosts: managed-node-01.example.com
       tasks:
         - name: Configure SSHD to accept environment variables
           ansible.builtin.include_role:
             name: rhel-system-roles.sshd
           vars:
             sshd_config_namespace: <my-application>
             sshd:
               # Environment variables to accept
               AcceptEnv:
                 LANG
                 LS_COLORS
                 EDITOR

   • RHEL 9 以降を実行する管理対象ノードの場合:

     - name: Non-exclusive sshd configuration
       hosts: managed-node-01.example.com
       tasks:
         - name: Configure sshd to accept environment variables
           ansible.builtin.include_role:
             name: rhel-system-roles.sshd
           vars:
             sshd_config_file: /etc/ssh/sshd_config.d/<42-my-application>.conf
             sshd:
               # Environment variables to accept
               AcceptEnv:
                 LANG
                 LS_COLORS
                 EDITOR

     サンプル Playbook で指定されている設定は次のとおりです。

     sshd_config_namespace: <my-application>

     このロールは、Playbook で指定した設定を、特定の名前空間配下にある既存の設定ファイルの設定スニペットに配置します。異なるコンテキストからロールを実行する場合は、異なる名前空間を選択する必要があります。

     sshd_config_file: /etc/ssh/sshd_config.d/<42-my-application>.conf

     sshd_config_file 変数では、sshd システムロールによる設定オプションの書き込み先の .conf ファイルを定義します。設定ファイルが適用される順序を指定するには、2 桁の接頭辞 (例: 42-) を使用します。

     AcceptEnv:

     OpenSSH サーバー (sshd) がクライアントから受け入れる環境変数を制御します。

     • LANG: 言語とロケールの設定を定義します。
     • LS_COLORS: ターミナルの ls コマンドの表示カラースキームを定義します。
     • EDITOR: エディターを開く必要があるコマンドラインプログラムのデフォルトのテキストエディターを指定します。

     Playbook で使用されるロール変数と OpenSSH 設定オプションの詳細は、/usr/share/ansible/roles/rhel-system-roles.sshd/README.md ファイルと、コントロールノードの sshd_config(5) man ページを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   - name: Host to host VPN
     hosts: managed-node-01.example.com, managed-node-02.example.com
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - hosts:
             managed-node-01.example.com:
             managed-node-02.example.com:
       vpn_manage_firewall: true
       vpn_manage_selinux: true

   この Playbook は、システムロールによって自動生成されたキーを使用した事前共有キー認証を使用して、接続 managed-node-01.example.com-to-managed-node-02.example.com を設定します。vpn_manage_firewall と vpn_manage_selinux は両方とも true に設定されているため、vpn ロールは firewall ロールと selinux ロールを使用して、vpn ロールが使用するポートを管理します。

   管理対象ホストから、インベントリーファイルにリストされていない外部ホストへの接続を設定するには、ホストの vpn_connections リストに次のセクションを追加します。

       vpn_connections:
         - hosts:
             managed-node-01.example.com:
             <external_node>:
               hostname: <IP_address_or_hostname>

   これにより、追加の接続 managed-node-01.example.com-to-<external_node> が 1 つ設定されます。

   注記

   接続は管理対象ノードでのみ設定され、外部ノードでは設定されません。

2. 必要に応じて、vpn_connections 内の追加セクション (コントロールプレーンやデータプレーンなど) を使用して、管理対象ノードに複数の VPN 接続を指定できます。

   - name: Multiple VPN
     hosts: managed-node-01.example.com, managed-node-02.example.com
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - name: control_plane_vpn
           hosts:
             managed-node-01.example.com:
               hostname: 192.0.2.0 # IP for the control plane
             managed-node-02.example.com:
               hostname: 192.0.2.1
         - name: data_plane_vpn
           hosts:
             managed-node-01.example.com:
               hostname: 10.0.0.1 # IP for the data plane
             managed-node-02.example.com:
               hostname: 10.0.0.2

3. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

4. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

検証

1. マネージドノードで、接続が正常にロードされていることを確認します。

   # ipsec status | grep <connection_name>

   <connection_name> は、このノードからの接続の名前に置き換えます (例: managed_node1-to-managed_node2)。

   注記

   デフォルトでは、ロールは、各システムの観点から作成する接続ごとにわかりやすい名前を生成します。たとえば、managed_node1 と managed_node2 との間の接続を作成するときに、managed_node1 上のこの接続のわかりやすい名前は managed_node1-to-managed_node2 ですが、managed_node2 では、この接続の名前は managed_node2-to-managed_node1 となります。

2. マネージドノードで、接続が正常に開始されたことを確認します。

   # ipsec trafficstatus | grep <connection_name>

3. オプション: 接続が正常にロードされない場合は、次のコマンドを入力して手動で接続を追加します。これにより、接続の確立に失敗した理由を示す、より具体的な情報が提供されます。

   # ipsec auto --add <connection_name>

   注記

   接続のロードおよび開始のプロセスで発生する可能性のあるエラーは、/var/log/pluto.log ファイルに報告されます。これらのログは解析が難しいため、代わりに接続を手動で追加して、標準出力からログメッセージを取得してください。

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   - name: Mesh VPN
     hosts: managed-node-01.example.com, managed-node-02.example.com, managed-node-03.example.com
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - opportunistic: true
           auth_method: cert
           policies:
             - policy: private
               cidr: default
             - policy: private-or-clear
               cidr: 198.51.100.0/24
             - policy: private
               cidr: 192.0.2.0/24
             - policy: clear
               cidr: 192.0.2.7/32
       vpn_manage_firewall: true
       vpn_manage_selinux: true

   証明書による認証は、Playbook で auth_method: cert パラメーターを定義することによって設定されます。デフォルトでは、ノード名が証明書のニックネームとして使用されます。この例では、managed-node-01.example.com です。インベントリーで cert_name 属性を使用して、さまざまな証明書名を定義できます。

   この手順の例では、Ansible Playbook の実行元のシステムであるコントロールノードが、両方の管理対象ノードと同じ Classless Inter-Domain Routing (CIDR) 番号 (192.0.2.0/24) を共有し、IP アドレス 192.0.2.7 を持ちます。したがって、コントロールノードは、CIDR 192.0.2.0/24 用に自動的に作成されるプライベートポリシーに該当します。

   再生中の SSH 接続の損失を防ぐために、コントロールノードの明確なポリシーがポリシーのリストに含まれています。ポリシーリストには、CIDR がデフォルトと等しい項目もあることに注意してください。これは、この Playbook がデフォルトポリシーのルールを上書きして、private-or-clear ではなく private にするためです。

   vpn_manage_firewall と vpn_manage_selinux は両方とも true に設定されているため、vpn ロールは firewall ロールと selinux ロールを使用して、vpn ロールが使用するポートを管理します。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 利用可能なファイアウォールゾーンをリスト表示します。

   # firewall-cmd --get-zones

   firewall-cmd --get-zones コマンドは、システムで利用可能なすべてのゾーンを表示し、特定のゾーンの詳細は表示しません。すべてのゾーンの詳細情報を表示するには、firewall-cmd --list-all-zones コマンドを使用します。

2. この設定に使用するゾーンを選択します。

3. 選択したゾーンのファイアウォール設定を変更します。たとえば、SSH サービスを許可し、ftp サービスを削除するには、次のようにします。

   # firewall-cmd --add-service=ssh --zone=<your_chosen_zone>
   # firewall-cmd --remove-service=ftp --zone=<same_chosen_zone>

4. ネットワークインターフェイスをファイアウォールゾーンに割り当てます。

   1. 使用可能なネットワークインターフェイスをリスト表示します。

      # firewall-cmd --get-active-zones

      ゾーンがアクティブかどうかは、その設定と一致するネットワークインターフェイスまたはソースアドレス範囲の存在によって決定します。デフォルトゾーンは、未分類のトラフィックに対してアクティブですが、ルールに一致するトラフィックがない場合は常にアクティブになるわけではありません。

   2. 選択したゾーンにネットワークインターフェイスを割り当てます。

      # firewall-cmd --zone=<your_chosen_zone> --change-interface=<interface_name> --permanent

      ネットワークインターフェイスをゾーンに割り当てることは、特定のインターフェイス (物理または仮想) 上のすべてのトラフィックに一貫したファイアウォール設定を適用する場合に適しています。

      firewall-cmd コマンドを --permanent オプションとともに使用すると、多くの場合、NetworkManager 接続プロファイルが更新され、ファイアウォール設定に対する変更が永続化します。この firewalld と NetworkManager の統合により、ネットワークとファイアウォールの設定に一貫性が確保されます。

検証

1. 選択したゾーンの更新後の設定を表示します。

   # firewall-cmd --zone=<your_chosen_zone> --list-all

   コマンド出力には、割り当てられたサービス、ネットワークインターフェイス、ネットワーク接続 (ソース) を含むすべてのゾーン設定が表示されます。

1. 現在のデフォルトゾーンを表示します。

   # firewall-cmd --get-default-zone

2. 新しいデフォルトゾーンを設定します。

   # firewall-cmd --set-default-zone <zone_name>

   注記

   この手順では、--permanent オプションを使用しなくても、設定は永続化します。

1. アクティブゾーン、およびそのゾーンに割り当てられているインターフェイスをリスト表示します。

   # firewall-cmd --get-active-zones

2. 別のゾーンにインターフェイスを割り当てます。

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

手順

1. ゾーンを NetworkManager 接続プロファイルに割り当てます。

   # nmcli connection modify profile connection.zone zone_name

2. 接続をアクティベートします。

   # nmcli connection up profile

手順

1. 接続プロファイルへのパスとその形式を決定します。

   # nmcli -f NAME,FILENAME connection
   NAME    FILENAME
   enp1s0  /etc/NetworkManager/system-connections/enp1s0.nmconnection
   enp7s0  /etc/sysconfig/network-scripts/ifcfg-enp7s0

   NetworkManager は、さまざまな接続プロファイル形式に対して個別のディレクトリーとファイル名を使用します。

   • /etc/NetworkManager/system-connections/<connection_name>.nmconnection ファイル内のプロファイルは、キーファイル形式を使用します。
   • /etc/sysconfig/network-scripts/ifcfg-<interface_name> ファイル内のプロファイルは ifcfg 形式を使用します。

2. 形式に応じて、対応するファイルを更新します。

   • ファイルがキーファイル形式を使用している場合は、/etc/NetworkManager/system-connections/<connection_name>.nmconnection ファイルの [connection] セクションに zone=<name> を追加します。

     [connection]
     ...
     zone=internal

   • ファイルが ifcfg 形式を使用している場合は、/etc/sysconfig/network-scripts/ifcfg-<interface_name> ファイルに ZONE=<name> を追加します。

     ZONE=internal

3. 接続プロファイルを再読み込みします。

   # nmcli connection reload

4. 接続プロファイルを再度アクティベートします。

   # nmcli connection up <profile_name>

手順

1. 新しいゾーンを作成します。

   # firewall-cmd --permanent --new-zone=zone-name

2. 新しいゾーンを使用可能にします。

   # firewall-cmd --reload

   このコマンドは、すでに実行中のネットワークサービスを中断することなく、最近の変更をファイアウォール設定に適用します。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Networking をクリックします。

3. ルールとゾーンの編集 ボタンをクリックします。

   

   ルールとゾーンの編集 ボタンが表示されない場合は、管理者権限で Web コンソールにログインしてください。

4. Firewall セクションの Add new zone をクリックします。

5. ゾーンの追加 ダイアログボックスで、信頼レベル オプションからゾーンを選択します。

   Web コンソールには、firewalld サービスで事前定義されたすべてのゾーンが表示されます。

6. インターフェイス で、選択したゾーンが適用されるインターフェイスを選択します。

7. 許可されたサービス で、ゾーンを適用するかどうかを選択できます。

   • サブネット全体

   • または、以下の形式の IP アドレスの範囲

     • 192.168.1.0
     • 192.168.1.0/24
     • 192.168.1.0/24, 192.168.1.0

8. Add zone ボタンをクリックします。

   

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Networking をクリックします。

3. ルールとゾーンの編集 ボタンをクリックします。

   

   ルールとゾーンの編集 ボタンが表示されない場合は、管理者権限で Web コンソールにログインしてください。

4. 削除するゾーンの オプションアイコン をクリックします。

   

5. Delete をクリックします。

1. 特定ゾーンに対する情報をリスト表示して、デフォルトゾーンを確認します。

   # firewall-cmd --zone=zone-name --list-all

2. ゾーンに新しいターゲットを設定します。

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

手順

1. firewalld のサービスがまだ許可されていないことを確認します。

   # firewall-cmd --list-services
   ssh dhcpv6-client

   このコマンドは、デフォルトゾーンで有効になっているサービスをリスト表示します。

2. firewalld のすべての事前定義サービスをリスト表示します。

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...

   このコマンドは、デフォルトゾーンで利用可能なサービスのリストを表示します。

3. firewalld が許可するサービスのリストにサービスを追加します。

   # firewall-cmd --add-service=<service_name>

   このコマンドは、指定したサービスをデフォルトゾーンに追加します。

4. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

   このコマンドは、これらのランタイムの変更をファイアウォールの永続的な設定に適用します。デフォルトでは、これらの変更はデフォルトゾーンの設定に適用されます。

検証

1. すべての永続的なファイアウォールのルールをリスト表示します。

   # firewall-cmd --list-all --permanent
   public
     target: default
     icmp-block-inversion: no
     interfaces:
     sources:
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     forward: no
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:

   このコマンドは、デフォルトのファイアウォールゾーン (public) の永続的なファイアウォールのルールを含む完全な設定を表示します。

2. firewalld サービスの永続的な設定の有効性を確認します。

   # firewall-cmd --check-config
   success

   永続的な設定が無効な場合、コマンドは詳細を含むエラーを返します。

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

   永続的な設定ファイルを手動で検査して設定を確認することもできます。メインの設定ファイルは /etc/firewalld/firewalld.conf です。ゾーン固有の設定ファイルは /etc/firewalld/zones/ ディレクトリーにあり、ポリシーは /etc/firewalld/policies/ ディレクトリーにあります。

手順

1. 事前定義したサービスまたはカスタマイズしたサービスを有効または無効にするには、以下を行います。

   1. firewall-config ユーティリティーを起動して、サービスを設定するネットワークゾーンを選択します。
   2. Zones タブを選択してから、下の Services タブを選択します。
   3. 信頼するサービスのタイプごとにチェックボックスをオンにするか、チェックボックスをオフにして、選択したゾーンのサービスをブロックします。

2. サービスを編集するには、以下を行います。

   1. firewall-config ユーティリティーを起動します。
   2. Configuration メニューから Permanent を選択します。Services ウィンドウの下部に、その他のアイコンおよびメニューボタンが表示されます。
   3. 設定するサービスを選択します。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Networking をクリックします。

3. ルールとゾーンの編集 ボタンをクリックします。

   

   ルールとゾーンの編集 ボタンが表示されない場合は、管理者権限で Web コンソールにログインしてください。

4. Firewall セクションで、サービスを追加するゾーンを選択し、Add Services をクリックします。

   

5. サービスの追加 ダイアログボックスで、ファイアウォールで有効にするサービスを見つけます。

6. シナリオに応じてサービスを有効にします。

   

7. Add Services をクリックします。

手順

1. RHEL 8 Web コンソールにログインします。

   詳細は、Web コンソールへのログイン を参照してください。

2. Networking をクリックします。

3. ルールとゾーンの編集 ボタンをクリックします。

   

   ルールとゾーンの編集 ボタンが表示されない場合は、Web コンソールに管理者権限でログインしてください。

4. ファイアウォール セクションで、カスタムポートを設定するゾーンを選択し、サービスの追加 をクリックします。

   

5. サービスの追加 ダイアログボックスで、カスタムポート ラジオボタンをクリックします。

6. TCP フィールドおよび UDP フィールドに、例に従ってポートを追加します。以下の形式でポートを追加できます。

   • ポート番号 (22 など)
   • ポート番号の範囲 (5900-5910 など)
   • エイリアス (nfs、rsync など)
   注記

   各フィールドには、複数の値を追加できます。値はコンマで区切り、スペースは使用しないでください (例:8080,8081,http)。

7. TCP filed、UDP filed、またはその両方にポート番号を追加した後、Name フィールドでサービス名を確認します。

   名前 フィールドには、このポートを予約しているサービスの名前が表示されます。このポートが無料で、サーバーがこのポートで通信する必要がない場合は、名前を書き換えることができます。

8. 名前 フィールドに、定義されたポートを含むサービスの名前を追加します。

9. Add Ports ボタンをクリックします。

   

手順

1. 現在アクティブなファイアウォールゾーンを確認します。

   # firewall-cmd --get-active-zones

2. HTTPS サービスを適切なゾーンに追加します。

   # firewall-cmd --zone=<zone_name> --add-service=https --permanent

3. ファイアウォール設定を再読み込みします。

   # firewall-cmd --reload

検証

1. firewalld でポートが開いているかどうかを確認します。

   • ポート番号を指定してポートを開いた場合は、次のように入力します。

     # firewall-cmd --zone=<zone_name> --list-all

   • サービス定義を指定してポートを開いた場合は、次のように入力します。

     # firewall-cmd --zone=<zone_name> --list-services

手順

1. 許可されているポートのリストを表示します。

   # firewall-cmd --list-ports

   デフォルトでは、このコマンドはデフォルトゾーンで有効になっているポートをリスト表示します。

   注記

   このコマンドでは、ポートとして開かれているポートのみが表示されます。サービスとして開かれているポートは表示されません。その場合は、--list-ports の代わりに --list-all オプションの使用を検討してください。

2. 許可されているポートのリストからポートを削除し、着信トラフィックに対して閉じます。

   # firewall-cmd --remove-port=port-number/port-type

   このコマンドは、ゾーンからポートを削除します。ゾーンを指定しない場合は、デフォルトゾーンからポートが削除されます。

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

   ゾーンを指定しない場合、このコマンドは、ランタイムの変更をデフォルトゾーンの永続的な設定に適用します。

検証

1. アクティブなゾーンをリスト表示し、検査するゾーンを選択します。

   # firewall-cmd --get-active-zones

2. 選択したゾーンで現在開いているポートをリスト表示し、不使用または不要なポートが閉じているかどうかを確認します。

   # firewall-cmd --zone=<zone_to_inspect> --list-ports

手順

1. ネットワークトラフィックを直ちに無効にするには、パニックモードをオンにします。

   # firewall-cmd --panic-on

2. パニックモードをオフにし、ファイアウォールを永続設定に戻します。パニックモードを無効にするには、次のコマンドを実行します。

   # firewall-cmd --panic-off

手順

1. firewall-config ツールを起動し、設定を変更するネットワークゾーンを選択します。
2. 右側で Protocols タブを選択し、Add ボタンをクリックします。Protocol ウィンドウが開きます。
3. リストからプロトコルを選択するか、Other Protocol チェックボックスを選択し、そのフィールドにプロトコルを入力します。

手順

1. 利用可能なすべてのゾーンをリストします。

   # firewall-cmd --get-zones

2. 永続化モードで、信頼ゾーンにソース IP を追加します。

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 必要なゾーンに対して許可されているソースのリストを表示します。

   # firewall-cmd --zone=zone-name --list-sources

2. ゾーンからソースを永続的に削除します。

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 利用可能なすべてのゾーンをリストします。

   # firewall-cmd --get-zones
   block dmz drop external home internal public trusted work

2. IP 範囲を internal ゾーンに追加し、ソースから発信されるトラフィックをゾーン経由でルーティングします。

   # firewall-cmd --zone=internal --add-source=192.0.2.0/24

3. http サービスを internal ゾーンに追加します。

   # firewall-cmd --zone=internal --add-service=http

4. 新しい設定を永続化します。

   # firewall-cmd --runtime-to-permanent

手順

1. 新しいファイアウォールポリシーを作成します。

   # firewall-cmd --permanent --new-policy podmanToAny

2. Podman から他のゾーンへのすべてのトラフィックをブロックし、Podman で必要なサービスのみを許可します。

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

3. 新しい Podman ゾーンを作成します。

   # firewall-cmd --permanent --new-zone=podman

4. ポリシーのイングレスゾーンを定義します。

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

5. 他のすべてのゾーンのエグレスゾーンを定義します。

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   エグレスゾーンを ANY に設定すると、Podman と他のゾーンの間でフィルタリングすることになります。ホストに対してフィルタリングする場合は、エグレスゾーンを HOST に設定します。

6. firewalld サービスを再起動します。

   # systemctl restart firewalld

手順

1. ファイアウォールポリシーを作成します。

   # firewall-cmd --permanent --new-policy <example_policy>

   ポリシーは、ゾーンとは対照的に、入力、出力、および転送されるトラフィックのパケットフィルタリングを許可します。ローカルで実行されている Web サーバー、コンテナー、または仮想マシン上のエンドポイントにトラフィックを転送するには、このような機能が必要になるため、これは重要です。

2. イングレストラフィックとエグレストラフィックのシンボリックゾーンを設定して、ルーター自体がローカル IP アドレスに接続し、このトラフィックを転送できるようにします。

   # firewall-cmd --permanent --policy=<example_policy> --add-ingress-zone=HOST
   # firewall-cmd --permanent --policy=<example_policy> --add-egress-zone=ANY

   --add-ingress-zone=HOST オプションは、ローカルで生成され、ローカルホストから送信されるパケットを参照します。--add-egress-zone=ANY オプションは、任意のゾーンに向かうトラフィックを参照します。

3. トラフィックを Web サーバーに転送するリッチルールを追加します。

   # firewall-cmd --permanent --policy=<example_policy> --add-rich-rule='rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"'

   リッチルールは、ルーターの IP アドレス (192.0.2.1) のポート 443 から Web サーバーの IP アドレス (192.51.100.20) のポート 443 に TCP トラフィックを転送します。

4. ファイアウォール設定ファイルをリロードします。

   # firewall-cmd --reload
   success

5. カーネルで 127.0.0.0/8 のルーティングを有効にします。

   • 変更を永続化するには、次を実行します。

     # echo "net.ipv4.conf.all.route_localnet=1" > /etc/sysctl.d/90-enable-route-localnet.conf

     このコマンドは、route_localnet カーネルパラメーターを永続的に設定し、システムの再起動後も設定が確実に保持されるようにします。

   • システムを再起動することなく直ちに設定を適用するには、次のコマンドを実行します。

     # sysctl -p /etc/sysctl.d/90-enable-route-localnet.conf

     sysctl コマンドは、オンザフライで変更を適用するのに便利ですが、システムを再起動すると設定は元に戻ります。

検証

1. Web サーバーに転送したルーターの IP アドレスおよびポートに接続します。

   # curl https://192.0.2.1:443

2. net.ipv4.conf.all.route_localnet カーネルパラメーターがアクティブであることを確認します。

   # sysctl net.ipv4.conf.all.route_localnet
   net.ipv4.conf.all.route_localnet = 1

3. <example_policy> がアクティブであり、必要な設定 (特にソース IP アドレスとポート、使用するプロトコル、宛先 IP アドレスとポート) が含まれていることを確認します。

   # firewall-cmd --info-policy=<example_policy>
   example_policy (active)
     priority: -1
     target: CONTINUE
     ingress-zones: HOST
     egress-zones: ANY
     services:
     ports:
     protocols:
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:
   	rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"

手順

1. external ゾーンなどで IP マスカレーディングが有効かどうかを確認するには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --query-masquerade

   このコマンドでは、有効な場合は yes と出力され、終了ステータスは 0 になります。無効の場合は no と出力され、終了ステータスは 1 になります。zone を省略すると、デフォルトのゾーンが使用されます。

2. IP マスカレードを有効にするには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --add-masquerade

3. この設定を永続化するには、--permanent オプションをコマンドに渡します。

4. IP マスカレードを無効にするには、root で次のコマンドを実行します。

   # firewall-cmd --zone=external --remove-masquerade

   この設定を永続化するには、--permanent をコマンドラインに渡します。

手順

1. 次の内容を含む /etc/sysctl.d/90-enable-IP-forwarding.conf ファイルを作成します。

   net.ipv4.ip_forward=1

   この設定によって、カーネルでの IP 転送が有効になります。これにより、内部 RHEL サーバーがルーターとして機能し、ネットワークからネットワークへパケットを転送するようになります。

2. /etc/sysctl.d/90-enable-IP-forwarding.conf ファイルから設定をロードします。

   # sysctl -p /etc/sysctl.d/90-enable-IP-forwarding.conf

3. 着信 HTTP トラフィックを転送します。

   # firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toaddr=198.51.100.10:toport=8080 --permanent

   上記のコマンドは、次の設定で DNAT ルールを定義します。

   • --zone=public - DNAT ルールを設定するファイアウォールゾーン。必要なゾーンに合わせて調整できます。
   • --add-forward-port - ポート転送ルールを追加することを示すオプション。
   • port=80 - 外部宛先ポート。
   • proto=tcp - TCP トラフィックを転送することを示すプロトコル。
   • toaddr=198.51.100.10 - 宛先 IP アドレス。
   • toport=8080 - 内部サーバーの宛先ポート。
   • --permanent - 再起動後も DNAT ルールを永続化するオプション。

4. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

手順

1. 次の内容を含む /etc/sysctl.d/90-enable-IP-forwarding.conf ファイルを作成します。

   net.ipv4.ip_forward=1

   この設定によって、カーネルでの IP 転送が有効になります。

2. /etc/sysctl.d/90-enable-IP-forwarding.conf ファイルから設定をロードします。

   # sysctl -p /etc/sysctl.d/90-enable-IP-forwarding.conf

3. NAT リダイレクトルールを作成します。

   # firewall-cmd --zone=public --add-forward-port=port=<standard_port>:proto=tcp:toport=<non_standard_port> --permanent

   上記のコマンドは、次の設定で NAT リダイレクトルールを定義します。

   • --zone=public - ルールを設定するファイアウォールゾーン。必要なゾーンに合わせて調整できます。
   • --add-forward-port=port=<non_standard_port> - 着信トラフィックを最初に受信するソースポートを使用したポート転送 (リダイレクト) ルールを追加することを示すオプション。
   • proto=tcp - TCP トラフィックをリダイレクトすることを示すプロトコル。
   • toport=<standard_port> - 着信トラフィックがソースポートで受信された後にリダイレクトされる宛先ポート。
   • --permanent - 再起動後もルールを永続化するオプション。

4. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

手順

1. 利用可能な ICMP のタイプとコードをリスト表示します。

   # firewall-cmd --get-icmptypes
   address-unreachable bad-header beyond-scope communication-prohibited destination-unreachable echo-reply echo-request failed-policy fragmentation-needed host-precedence-violation host-prohibited host-redirect host-unknown host-unreachable
   ...

   この事前定義されたリストから、許可またはブロックする ICMP のタイプとコードを選択します。

2. 特定の ICMP タイプを次の方法でフィルタリングします。

   • 許可する ICMP タイプ:

     # firewall-cmd --zone=<target-zone> --remove-icmp-block=echo-request --permanent

     このコマンドは、エコーリクエスト ICMP タイプに対する既存のブロックルールを削除します。

   • ブロックする ICMP タイプ:

     # firewall-cmd --zone=<target-zone> --add-icmp-block=redirect --permanent

     このコマンドは、リダイレクトメッセージ ICMP タイプがファイアウォールによって確実にブロックされるようにします。

3. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

手順

1. 分かりやすい名前で IP セットを作成します。

   # firewall-cmd --permanent --new-ipset=allowlist --type=hash:ip

   この allowlist という新しい IP セットには、ファイアウォールで許可する IP アドレスが含まれています。

2. IP セットに動的更新を追加します。

   # firewall-cmd --permanent --ipset=allowlist --add-entry=198.51.100.10

   この設定により、新しく追加した、ネットワークトラフィックを渡すことがファイアウォールにより許可される IP アドレスで、allowlist の IP セットが更新されます。

3. 先に作成した IP セットを参照するファイアウォールのルールを作成します。

   # firewall-cmd --permanent --zone=public --add-source=ipset:allowlist

   このルールがない場合、IP セットはネットワークトラフィックに影響を与えません。デフォルトのファイアウォールポリシーが優先されます。

4. ファイアウォール設定をリロードして、変更を適用します。

   # firewall-cmd --reload

検証

1. すべての IP セットをリスト表示します。

   # firewall-cmd --get-ipsets
   allowlist

2. アクティブなルールをリスト表示します。

   # firewall-cmd --list-all
   public (active)
     target: default
     icmp-block-inversion: no
     interfaces: enp0s1
     sources: ipset:allowlist
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     ...

   コマンドライン出力の sources セクションでは、どのトラフィックの発信元 (ホスト名、インターフェイス、IP セット、サブネットなど) が、特定のファイアウォールゾーンへのアクセスを許可または拒否されているかについて洞察が得られます。上記の場合、allowlist IP セットに含まれる IP アドレスが、public ゾーンのファイアウォールを通してトラフィックを渡すことが許可されています。

3. IP セットの内容を調べます。

   # cat /etc/firewalld/ipsets/allowlist.xml
   <?xml version="1.0" encoding="utf-8"?>
   <ipset type="hash:ip">
     <entry>198.51.100.10</entry>
   </ipset>

手順

1. ロックダウンが有効かどうかをクエリーするには、以下を実行します。

   # firewall-cmd --query-lockdown

2. 次のいずれかの方法でロックダウン設定を管理します。

   • ロックダウンを有効にする場合:

     # firewall-cmd --lockdown-on

   • ロックダウンを無効にする場合:

     # firewall-cmd --lockdown-off

手順

1. カーネルでパケット転送を有効にします。

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

2. ゾーン内転送を有効にするインターフェイスが internal ゾーンにのみ割り当てられていることを確認します。

   # firewall-cmd --get-active-zones

3. 現在、インターフェイスが internal 以外のゾーンに割り当てられている場合は、以下のように再割り当てします。

   # firewall-cmd --zone=internal --change-interface=interface_name --permanent

4. enp1s0 および wlp0s20 インターフェイスを internal ゾーンに追加します。

   # firewall-cmd --zone=internal --add-interface=enp1s0 --add-interface=wlp0s20

5. ゾーン内転送を有効にします。

   # firewall-cmd --zone=internal --add-forward

1. ゾーン転送を有効にしたホストの enp1s0 インターフェイスと同じネットワーク上にあるホストにログインします。

2. ncat で echo サービスを起動し、接続をテストします。

   # ncat -e /usr/bin/cat -l 12345

3. wlp0s20 インターフェイスと同じネットワークにあるホストにログインします。

4. enp1s0 と同じネットワークにあるホスト上で実行している echo サーバーに接続します。

   # ncat <other_host> 12345

5. 何かを入力して Enter を押します。テキストが返送されることを確認します。

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Reset firewalld example
     hosts: managed-node-01.example.com
     tasks:
       - name: Reset firewalld
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - previous: replaced

   サンプル Playbook で指定されている設定は次のとおりです。

   previous: replaced

   既存のユーザー定義設定をすべて削除し、firewalld 設定をデフォルトにリセットします。previous:replaced パラメーターを他の設定と組み合わせると、firewall ロールは新しい設定を適用する前に既存の設定をすべて削除します。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.firewall/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Forward incoming traffic on port 8080 to 443
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - forward_port: 8080/tcp;443;
               state: enabled
               runtime: true
               permanent: true

   サンプル Playbook で指定されている設定は次のとおりです。

   forward_port: 8080/tcp;443

   TCP プロトコルを使用してローカルポート 8080 に送信されるトラフィックが、ポート 443 に転送されます。

   runtime: true

   ランタイム設定の変更を有効にします。デフォルトは true に設定されています。

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.firewall/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. 次の内容を含む Playbook ファイル (例: ~/playbook.yml) を作成します。

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Creating a DMZ with access to HTTPS port and masquerading for hosts in DMZ
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - zone: dmz
               interface: enp1s0
               service: https
               state: enabled
               runtime: true
               permanent: true

   Playbook で使用されるすべての変数の詳細は、コントロールノードの /usr/share/ansible/roles/rhel-system-roles.firewall/README.md ファイルを参照してください。

2. Playbook の構文を検証します。

   $ ansible-playbook --syntax-check ~/playbook.yml

   このコマンドは構文を検証するだけであり、有効だが不適切な設定から保護するものではないことに注意してください。

3. Playbook を実行します。

   $ ansible-playbook ~/playbook.yml

手順

1. テーブルが IPv4 パケットと IPv6 パケットの両方を処理できるように、inet アドレスファミリーを使用して nftables_svc という名前のテーブルを作成します。

   # nft add table inet nftables_svc

2. 受信ネットワークトラフィックを処理する INPUT という名前のベースチェーンを inet nftables_svc テーブルに追加します。

   # nft add chain inet nftables_svc INPUT { type filter hook input priority filter \; policy accept \; }

   シェルがセミコロンをコマンドの最後として解釈しないようにするには、\ 文字を使用してセミコロンをエスケープします。

3. INPUT チェーンにルールを追加します。たとえば、INPUT チェーンの最後のルールとして、ポート 22 および 443 で着信 TCP トラフィックを許可し、他の着信トラフィックを、Internet Control Message Protocol (ICMP) ポートに到達できないというメッセージで拒否します。

   # nft add rule inet nftables_svc INPUT tcp dport 22 accept
   # nft add rule inet nftables_svc INPUT tcp dport 443 accept
   # nft add rule inet nftables_svc INPUT reject with icmpx type port-unreachable

   ここで示されたように nft add rule コマンドを実行すると、nft はコマンド実行と同じ順序でルールをチェーンに追加します。

4. ハンドルを含む現在のルールセットを表示します。

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

5. ハンドル 3 で既存ルールの前にルールを挿入します。たとえば、ポート 636 で TCP トラフィックを許可するルールを挿入するには、以下を入力します。

   # nft insert rule inet nftables_svc INPUT position 3 tcp dport 636 accept

6. ハンドル 3 で、既存ルールの後ろにルールを追加します。たとえば、ポート 80 で TCP トラフィックを許可するルールを追加するには、以下を入力します。

   # nft add rule inet nftables_svc INPUT position 3 tcp dport 80 accept

7. ハンドルでルールセットを再表示します。後で追加したルールが指定の位置に追加されていることを確認します。

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       reject # handle 4
     }
   }

8. ハンドル 6 でルールを削除します。

   # nft delete rule inet nftables_svc INPUT handle 6

   ルールを削除するには、ハンドルを指定する必要があります。

9. ルールセットを表示し、削除されたルールがもう存在しないことを確認します。

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

10. INPUT チェーンから残りのルールをすべて削除します。

    # nft flush chain inet nftables_svc INPUT

11. ルールセットを表示し、INPUT チェーンが空であることを確認します。

    # nft list table inet nftables_svc
    table inet nftables_svc {
      chain INPUT {
        type filter hook input priority filter; policy accept
      }
    }

12. INPUT チェーンを削除します。

    # nft delete chain inet nftables_svc INPUT

    このコマンドを使用して、まだルールが含まれているチェーンを削除することもできます。

13. ルールセットを表示し、INPUT チェーンが削除されたことを確認します。

    # nft list table inet nftables_svc
    table inet nftables_svc {
    }

14. nftables_svc テーブルを削除します。

    # nft delete table inet nftables_svc

    このコマンドを使用して、まだルールが含まれているテーブルを削除することもできます。

    注記

    ルールセット全体を削除するには、個別のコマンドですべてのルール、チェーン、およびテーブルを手動で削除するのではなく、nft flush ruleset コマンドを使用します。

手順

1. iptables ルールおよび ip6tables ルールをファイルに書き込みます。

   # iptables-save >/root/iptables.dump
   # ip6tables-save >/root/ip6tables.dump

2. ダンプファイルを nftables 命令に変換します。

   # iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft
   # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft

3. 必要に応じて、生成された nftables ルールを手動で更新して、確認します。

4. nftables サービスが生成されたファイルをロードできるようにするには、以下を /etc/sysconfig/nftables.conf ファイルに追加します。

   include "/etc/nftables/ruleset-migrated-from-iptables.nft"
   include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"

5. iptables サービスを停止し、無効にします。

   # systemctl disable --now iptables

   カスタムスクリプトを使用して iptables ルールを読み込んだ場合は、スクリプトが自動的に開始されなくなったことを確認し、再起動してすべてのテーブルをフラッシュします。

6. nftables サービスを有効にして起動します。

   # systemctl enable --now nftables

手順

1. /etc/sysconfig/nftables.conf ファイルを編集します。

   • nftables パッケージのインストールで /etc/nftables/ に作成された *.nft スクリプトを変更した場合は、これらのスクリプトの include ステートメントのコメントを解除します。

   • 新しいスクリプトを作成した場合は、include ステートメントを追加してこれらのスクリプトを含めます。たとえば、nftables サービスの起動時に /etc/nftables/example.nft スクリプトを読み込むには、以下を追加します。

     include "/etc/nftables/_example_.nft"

2. オプション: nftables サービスを開始して、システムを再起動せずにファイアウォールルールを読み込みます。

   # systemctl start nftables

3. nftables サービスを有効にします。

   # systemctl enable nftables

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   prerouting チェーンにルールを追加しなくても、nftables フレームワークでは、着信パケット返信に一致するようにこのチェーンが必要になります。

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. postrouting チェーンに、ens3 インターフェイスの出力パケットに一致するルールを追加します。

   # nft add rule nat postrouting oifname "ens3" masquerade

手順

1. テーブルを作成します。

   # nft add table nat

2. テーブルに、prerouting チェーンおよび postrouting チェーンを追加します。

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   postrouting チェーンにルールを追加しなくても、nftables フレームワークでは、このチェーンが発信パケット返信に一致するようにする必要があります。

   -- オプションを nft コマンドに渡して、シェルが負の priority 値を nft コマンドのオプションとして解釈しないようにする必要があることに注意してください。

3. ens3 を介した発信パケットのソース IP を 192.0.2.1 に置き換えるルールを postrouting チェーンに追加します。

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1