5.12.2. IP 세트에 대한 사용자 정의 서비스 구성
firewalld 를 시작하기 전에 IP 세트 구조를 생성하고 로드하도록 사용자 지정 서비스를 구성하려면 다음을 수행합니다.
root로 실행되는 편집기를 사용하여 다음과 같이 파일을 생성합니다.~]# vi /etc/systemd/system/ipset_name.service [Unit] Description=ipset_name Before=firewalld.service [Service] Type=oneshot RemainAfterExit=yes ExecStart=/usr/local/bin/ipset_name.sh start ExecStop=/usr/local/bin/ipset_name.sh stop [Install] WantedBy=basic.target- firewalld 에서 IP 세트를 영구적으로 사용합니다.
~]# vi /etc/firewalld/direct.xml <?xml version="1.0" encoding="utf-8"?> <direct> <rule ipv="ipv4" table="filter" chain="INPUT" priority="0">-m set --match-set <replaceable>ipset_name</replaceable> src -j DROP</rule> </direct> - 변경 사항을 활성화하려면
firewalld재로드가 필요합니다.~]# firewall-cmd --reload이렇게 하면 상태 정보(TCP 세션이 종료되지 않음)가 방화벽을 다시 로드하지 않지만 다시 로드하는 동안 서비스 중단이 가능합니다.
주의
firewalld 를 통해 관리되지 않는 IP 세트는 사용하지 않는 것이 좋습니다. 이러한 IP 세트를 사용하려면 세트를 참조하려면 영구 직접 규칙이 필요하며 이러한 IP 세트를 생성하려면 사용자 지정 서비스를 추가해야 합니다. firewalld를 시작하기 전에 이 서비스를 시작해야 합니다. 그러지 않으면 firewalld 가 이러한 세트를 사용하여 직접 규칙을 추가할 수 없습니다. /etc/firewalld/direct.xml 파일을 사용하여 영구적인 직접 규칙을 추가할 수 있습니다.
