21.5. firewalld の使用および設定

• firewalld:簡単なファイアウォールのユースケースには、firewalld ユーティリティーを使用します。このユーティリティーは、使いやすく、このようなシナリオの一般的な使用例に対応しています。
• nftables:nftables ユーティリティーを使用して、ネットワーク全体など、複雑なパフォーマンスに関する重要なファイアウォールを設定します。
• iptables:Red Hat Enterprise Linux の iptables ユーティリティーは、legacy バックエンドの代わりに nf_tables カーネル API を使用します。nf_tables API は、iptables コマンドを使用するスクリプトが、Red Hat Enterprise Linux で引き続き動作するように、後方互換性を提供します。新しいファイアウォールスクリプトの場合には、Red Hat は nftables を使用することを推奨します。

• NetworkManager
• firewall-config ツール
• firewall-cmd コマンドラインツール
• RHEL Web コンソール

前提条件

• firewalld サービスが実行している。

前提条件

• firewall-config パッケージがインストールされている。

手順

• コマンドラインを使用してグラフィカルなファイアウォール設定ツールを起動するには、次のコマンドを実行します。

  $ firewall-config

手順

• デフォルトゾーンに関連する情報をすべて表示するには、次のコマンドを実行します。

  # firewall-cmd --list-all
  public
    target: default
    icmp-block-inversion: no
    interfaces:
    sources:
    services: ssh dhcpv6-client
    ports:
    protocols:
    masquerade: no
    forward-ports:
    source-ports:
    icmp-blocks:
    rich rules:

• 設定を表示するゾーンを指定するには、たとえば、--zone=zone-name 引数を firewall-cmd --list-all コマンドに指定します。

  # firewall-cmd --list-all --zone=home
  home
    target: default
    icmp-block-inversion: no
    interfaces:
    sources:
    services: ssh mdns samba-client dhcpv6-client
    ...

• サービス、ポートなど、特定情報の設定を確認するには、特定のオプションを使用します。firewalld の man ページか、コマンドの help でオプションのリストを表示します。

  # firewall-cmd --help

• 現在のゾーンで許可されているサービスを表示するには、次のコマンドを実行します。

  # firewall-cmd --list-services
  ssh dhcpv6-client

検証

• パニックモードを有効または無効にするには、次のコマンドを実行します。

  # firewall-cmd --query-panic

前提条件

• firewall-config パッケージがインストールされている

前提条件

• firewall-config パッケージがインストールされている

前提条件

• firewall-config パッケージがインストールされている

前提条件

• firewall-config パッケージがインストールされている

手順

• 別のゾーンで作業するには、--zone= <zone_name> オプションを使用します。たとえば、public ゾーンで SSH サービスを許可するには、次のようにします。

  # firewall-cmd --add-service=ssh --zone=public

手順

• 接続のゾーンを設定するには、/etc/sysconfig/network-scripts/ifcfg-connection_name ファイルを変更して、この接続にゾーンを割り当てる行を追加します。

  ZONE=zone_name

• ACCEPT:指定したルールで許可されていないパケットを除いた、すべての着信パケットを許可します。
• REJECT:指定したルールで許可されているパケット以外の着信パケットをすべて拒否します。firewalld がパケットを拒否すると、送信元マシンに拒否について通知されます。
• DROP:指定したルールで許可されているパケット以外の着信パケットをすべて破棄します。firewalld がパケットを破棄すると、ソースマシンにパケット破棄の通知がされません。
• default:REJECT と似ていますが、特定のシナリオで特別な意味を持ちます。詳細は、firewall-cmd(1) man ページの 適応およびクエリーゾーンとポリシーのオプション セクションを参照してください。

• 現在のゾーンにソースを設定するには、次のコマンドを実行します。

  # firewall-cmd --add-source=<source>

• 特定ゾーンのソース IP アドレスを設定するには、次のコマンドを実行します。

  # firewall-cmd --zone=zone-name --add-source=<source>

手順

• ソースポートを追加するには、次のコマンドを実行します。

  # firewall-cmd --zone=zone-name --add-source-port=<port-name>/<tcp|udp|sctp|dccp>

手順

• ソースポートを削除するには、次のコマンドを実行します。

  # firewall-cmd --zone=zone-name --remove-source-port=<port-name>/<tcp|udp|sctp|dccp>

検証

• internal ゾーンがアクティブで、サービスが許可されていることを確認します。

  # firewall-cmd --zone=internal --list-all
  internal (active)
    target: default
    icmp-block-inversion: no
    interfaces:
    sources: 192.0.2.0/24
    services: cockpit dhcpv6-client mdns samba-client ssh http
    ...

• HOST シンボリックゾーンは、firewalld を実行しているホストから発信されるトラフィック、またはホストへの宛先を持つトラフィックのポリシーを許可します。
• ANY シンボリックゾーンは、現行および将来のすべてのゾーンにポリシーを適用します。ANY シンボリックゾーンは、すべてのゾーンのワイルドカードとして機能します。

• 負の優先度を持つポリシーは、ゾーンのルールの前に適用されます。
• 正の優先度を持つポリシーは、ゾーンのルールの後に適用されます。
• 優先度 0 は予約されているため、使用できません。

検証

• ポリシーに関する情報を確認します。

  # firewall-cmd --info-policy podmanToHost

• ACCEPT - パケットを受け入れます
• DROP - 不要なパケットを破棄します
• REJECT - ICMP 応答で不要なパケットを拒否します

• CONTINUE (デフォルト) - パケットは、次のポリシーとゾーンのルールに従います。

  # firewall-cmd --permanent --policy mypolicy --set-target CONTINUE

検証

• ポリシーに関する情報の確認

  # firewall-cmd --info-policy mypolicy

• 利用可能な ICMP タイプのリストを表示するには、次のコマンドを実行します。

  # firewall-cmd --get-icmptypes

• ICMP リクエストは、IPv4、IPv6、またはその両方のプロトコルで使用できます。ICMP リクエストが使用されているプロトコルを表示するには、次のコマンドを実行します。

  # firewall-cmd --info-icmptype=<icmptype>

• ICMP リクエストのステータスは、リクエストが現在ブロックされている場合は yes、ブロックされていない場合は no となります。ICMP リクエストが現在ブロックされているかどうかを確認するには、次のコマンドを実行します。

  # firewall-cmd --query-icmp-block=<icmptype>

• ICMP リクエストが現在ブロックされているかどうかを確認するには、次のコマンドを実行します。

  # firewall-cmd --query-icmp-block=<icmptype>

• ICMP リクエストをブロックするには、次のコマンドを実行します。

  # firewall-cmd --add-icmp-block=<icmptype>

• ICMP リクエストのブロックを削除するには、次のコマンドを実行します。

  # firewall-cmd --remove-icmp-block=<icmptype>

• すべての ICMP リクエストをブロックして破棄するには、次のコマンドを実行します。

• ゾーンのターゲットを DROP に設定します。

  # firewall-cmd --permanent --set-target=DROP

• 永続的な環境で firewalld に認識されている IP セットのリストを表示するには、次のコマンドを root で実行します。

  # firewall-cmd --permanent --get-ipsets

• 新しい IP セットを追加するには、永続化環境を使用し、root で次のコマンドを実行します。

  # firewall-cmd --permanent --new-ipset=test --type=hash:net
  success

  上記のコマンドは、名前 test とタイプ hash:net で、IPv4 の新しい IP セットを作成します。IPv6 で使用する IP セットを作成する場合は、--option=family=inet6 オプションを追加します。ランタイム環境で新しい設定を有効にするには、firewalld を再読み込みします。

• root で次のコマンドを実行して、新しい IP セットのリストを表示します。

  # firewall-cmd --permanent --get-ipsets
  test

• IP セットの詳細は、root で次のコマンドを実行します。

  # firewall-cmd --permanent --info-ipset=test
  test
  type: hash:net
  options:
  entries:

  この時点では IP セットにエントリーがありません。

• IP セット test にエントリーを追加するには、root で次のコマンドを実行します。

  # firewall-cmd --permanent --ipset=test --add-entry=192.168.0.1
  success

  上記のコマンドは、IP アドレス 192.168.0.1 を IP セットに追加します。

• IP セットの現在のエントリーをリスト表示するには、root で次のコマンドを実行します。

  # firewall-cmd --permanent --ipset=test --get-entries
  192.168.0.1

• IP アドレスのリストを含む iplist.txt ファイルを作成します。次に例を示します。

  192.168.0.2
  192.168.0.3
  192.168.1.0/24
  192.168.2.254

  IP セットの IP アドレスのリストが含まれるファイルには、行ごとにエントリーが含まれている必要があります。ハッシュ、セミコロン、また空の行から始まる行は無視されます。

• iplist.txt ファイルからアドレスを追加するには、root で次のコマンドを実行します。

  # firewall-cmd --permanent --ipset=test --add-entries-from-file=iplist.txt
  success

• 拡張された IP セットのエントリーリストを表示するには、root で次のコマンドを実行します。

  # firewall-cmd --permanent --ipset=test --get-entries
  192.168.0.1
  192.168.0.2
  192.168.0.3
  192.168.1.0/24
  192.168.2.254

• IP セットからアドレスを削除し、更新したエントリーリストを確認するには、root で次のコマンドを実行します。

  # firewall-cmd --permanent --ipset=pass:_test_ --remove-entries-from-file=iplist.txt
  success
  # firewall-cmd --permanent --ipset=test --get-entries
  192.168.0.1

• IP セットをゾーンへのソースとして追加し、ゾーンを使用して、IP セットに記載されるアドレスから受信するすべてのトラフィックを処理します。たとえば、IP セットの test をソースとして drop ゾーンに追加し、IP セットの test のリストに表示されるすべてのエントリーから発信されるパケットをすべて破棄するには、root で次のコマンドを実行します。

  # firewall-cmd --permanent --zone=drop --add-source=ipset:test
  success

  ソースの ipset: 接頭辞は、ソースが IP セットで、IP アドレスまたはアドレス範囲ではない firewalld を示しています。

• 優先度が 0 未満 - ルールは _pre 接尾辞が付いたチェーンにリダイレクトされます。
• 優先度が 0 を超える - ルールは _post 接尾辞が付いたチェーンにリダイレクトされます。
• 優先度が 0 - アクションに基づいて、ルールは、_log、_deny、または _allow のアクションを使用してチェーンにリダイレクトされます。

手順

• 優先度が非常に低いルールを追加して、他のルールと一致していないすべてのトラフィックをログに記録します。

  # firewall-cmd --add-rich-rule='rule priority=32767 log prefix="UNEXPECTED: " limit value="5/m"'

  このコマンドでは、ログエントリーの数を、毎分 5 に制限します。

検証

• 前の手順のコマンドで作成した nftables ルールを表示します。

  # nft list chain inet firewalld filter_IN_public_post
  table inet firewalld {
    chain filter_IN_public_post {
      log prefix "UNEXPECTED: " limit rate 5/minute
    }
  }

• ここでのコンテキストは、実行中のアプリケーションやサービスのセキュリティー (SELinux) コンテキストです。実行中のアプリケーションのコンテキストを確認するには、次のコマンドを実行します。

  $ ps -e --context

  このコマンドは、実行中のアプリケーションをすべて返します。grep ツールを使用して、出力から目的のアプリケーションをパイプ処理します。以下に例を示します。

  $ ps -e --context | grep example_program

• 許可リストにあるコマンドラインの一覧を表示するには、root で次のコマンドを実行します。

  # firewall-cmd --list-lockdown-whitelist-commands

• 許可リストに command コマンドを追加するには、root で次のコマンドを実行します。

  # firewall-cmd --add-lockdown-whitelist-command='/usr/bin/python3 -Es /usr/bin/command'

• 許可リストから command コマンドを削除するには、root で次のコマンドを実行します。

  # firewall-cmd --remove-lockdown-whitelist-command='/usr/bin/python3 -Es /usr/bin/command'

• command コマンドが許可リストに含まれるかどうかを確認するには、root で次のコマンドを実行します。

  # firewall-cmd --query-lockdown-whitelist-command='/usr/bin/python3 -Es /usr/bin/command'

  このコマンドでは、含まれる場合は yes が出力され、終了ステータスは 0 になります。無効の場合は no と出力され、終了ステータスは 1 になります。

• 許可リストにあるセキュリティーコンテキストの一覧を表示するには、root で次のコマンドを実行します。

  # firewall-cmd --list-lockdown-whitelist-contexts

• 許可リストに context コンテキストを追加するには、root で次のコマンドを実行します。

  # firewall-cmd --add-lockdown-whitelist-context=context

• 許可リストから context コンテキストを削除するには、root で次のコマンドを実行します。

  # firewall-cmd --remove-lockdown-whitelist-context=context

• context コンテキストが許可リストに含まれるかどうかを確認するには、root で次のコマンドを実行します。

  # firewall-cmd --query-lockdown-whitelist-context=context

  含まれる場合は、yes と出力され、終了ステータスは 0 になります。含まれない場合は、no が出力され、終了ステータスは 1 になります。

• 許可リストにあるユーザー ID すべての一覧を表示するには、root で次のコマンドを実行します。

  # firewall-cmd --list-lockdown-whitelist-uids

• 許可リストにユーザー ID (uid) を追加するには、root で次のコマンドを実行します。

  # firewall-cmd --add-lockdown-whitelist-uid=uid

• 許可リストからユーザー ID (uid) を削除するには、root で次のコマンドを実行します。

  # firewall-cmd --remove-lockdown-whitelist-uid=uid

• 許可リストにユーザー ID (uid) があるかどうかを確認するには、次のコマンドを実行します。

  $ firewall-cmd --query-lockdown-whitelist-uid=uid

  含まれる場合は、yes と出力され、終了ステータスは 0 になります。含まれない場合は、no が出力され、終了ステータスは 1 になります。

• 許可リストにある全ユーザー名の一覧を表示するには、root で次のコマンドを実行します。

  # firewall-cmd --list-lockdown-whitelist-users

• 許可リストにユーザー名 (user) を追加するには、root で次のコマンドを実行します。

  # firewall-cmd --add-lockdown-whitelist-user=user

• 許可リストからユーザー名 (user) を削除するには、root で次のコマンドを実行します。

  # firewall-cmd --remove-lockdown-whitelist-user=user

• ユーザー名 (user) が許可リストに含まれるかどうかを確認するには、次のコマンドを実行します。

  $ firewall-cmd --query-lockdown-whitelist-user=user

  含まれる場合は、yes と出力され、終了ステータスは 0 になります。含まれない場合は、no が出力され、終了ステータスは 1 になります。

• ゾーン。
• パケットが許可されるサービス。
• ポートへのトラフィックアクセスの付与、拒否、または削除。
• ゾーンのポートまたはポート範囲の転送。

前提条件

• 制御ノードと管理ノードを準備している
• 管理対象ノードで Playbook を実行できるユーザーとしてコントロールノードにログインしている。
• 管理対象ノードへの接続に使用するアカウントには、そのノードに対する sudo 権限がある。
• この Playbook を実行する管理対象ノードまたは管理対象ノードのグループが、Ansible インベントリーファイルにリストされている。

検証

• 管理対象ノードで root として次のコマンドを実行し、すべてのゾーンを確認します。

  # firewall-cmd --list-all-zones

前提条件

• 制御ノードと管理ノードを準備している
• 管理対象ノードで Playbook を実行できるユーザーとしてコントロールノードにログインしている。
• 管理対象ノードへの接続に使用するアカウントには、そのノードに対する sudo 権限がある。
• この Playbook を実行する管理対象ノードまたは管理対象ノードのグループが、Ansible インベントリーファイルにリストされている。

検証

• 管理対象ホストで、firewalld 設定を表示します。

  # firewall-cmd --list-forward-ports

前提条件

• 制御ノードと管理ノードを準備している
• 管理対象ノードで Playbook を実行できるユーザーとしてコントロールノードにログインしている。
• 管理対象ノードへの接続に使用するアカウントには、そのノードに対する sudo 権限がある。
• この Playbook を実行する管理対象ノードまたは管理対象ノードのグループが、Ansible インベントリーファイルにリストされている。

検証

• 管理対象ノードで、HTTPS サービスに関連付けられた 443/tcp ポートが開いていることを確認します。

  # firewall-cmd --list-ports
  443/tcp

前提条件

• 制御ノードと管理ノードを準備している
• 管理対象ノードで Playbook を実行できるユーザーとしてコントロールノードにログインしている。
• 管理対象ノードへの接続に使用するアカウントには、そのノードに対する sudo 権限がある。
• この Playbook を実行する管理対象ノードまたは管理対象ノードのグループが、Ansible インベントリーファイルにリストされている。

検証

• 管理ノードで、dmz ゾーンに関する詳細情報を表示します。

  # firewall-cmd --zone=dmz --list-all
  dmz (active)
    target: default
    icmp-block-inversion: no
    interfaces: enp1s0
    sources:
    services: https ssh
    ports:
    protocols:
    forward: no
    masquerade: no
    forward-ports:
    source-ports:
    icmp-blocks: