7.10. 영역 간에 전달된 트래픽 필터링

절차

1. 새 방화벽 정책을 생성합니다.

   # firewall-cmd --permanent --new-policy podmanToAny

2. Podman에서 다른 영역으로의 모든 트래픽을 차단하고 Podman에서 필요한 서비스만 허용합니다.

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

3. 새 Podman 영역을 생성합니다.

   # firewall-cmd --permanent --new-zone=podman

4. 정책의 수신 영역을 정의합니다.

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

5. 다른 모든 영역에 대한 송신 영역을 정의합니다.

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   송신 영역을 ANY로 설정하면 Podman에서 다른 영역으로 필터링합니다. 호스트에 필터링하려면 송신 영역을 HOST로 설정합니다.

6. firewalld 서비스를 다시 시작합니다.

   # systemctl restart firewalld

절차

1. 방화벽 정책을 생성합니다.

   # firewall-cmd --permanent --new-policy <example_policy>

   영역과 달리 정책은 입력, 출력 및 전달된 트래픽에 대한 패킷 필터링을 허용합니다. 로컬에서 웹 서버, 컨테이너 또는 가상 머신에서 끝점으로 트래픽을 전달하려면 이러한 기능이 필요하므로 중요합니다.

2. 라우터 자체에서 로컬 IP 주소에 연결하고 이 트래픽을 전달할 수 있도록 수신 및 송신 트래픽에 대한 심볼릭 영역을 구성합니다.

   # firewall-cmd --permanent --policy=<example_policy> --add-ingress-zone=HOST
   # firewall-cmd --permanent --policy=<example_policy> --add-egress-zone=ANY

   --add-ingress-zone=HOST 옵션은 로컬에서 생성되어 로컬 호스트에서 전송된 패킷을 나타냅니다. --add-egress-zone=ANY 옵션은 모든 영역으로 이동하는 트래픽을 나타냅니다.

3. 트래픽을 웹 서버로 전달하는 리치 규칙을 추가합니다.

   # firewall-cmd --permanent --policy=<example_policy> --add-rich-rule='rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"'

   리치 규칙은 라우터의 IP 주소에 있는 포트 443에서 웹 서버(192.51.100.20)의 IP 주소의 포트 443으로 TCP 트래픽을 전달합니다.

4. 방화벽 구성 파일을 다시 로드합니다.

   # firewall-cmd --reload
   success

5. 커널에서 127.0.0.0/8의 라우팅을 활성화합니다.

   • 영구 변경 사항의 경우 다음을 실행합니다.

     # echo "net.ipv4.conf.all.route_localnet=1" > /etc/sysctl.d/90-enable-route-localnet.conf

     이 명령은 route_localnet 커널 매개 변수를 영구적으로 구성하고 시스템이 재부팅된 후 설정이 보존되도록 합니다.

   • 시스템 재부팅없이 설정을 즉시 적용하려면 다음을 실행합니다.

     # sysctl -p /etc/sysctl.d/90-enable-route-localnet.conf

     sysctl 명령은 변경 사항을 적용하는 데 유용하지만 시스템 재부팅 시 구성은 유지되지 않습니다.

검증

1. 라우터의 IP 주소 및 웹 서버로 전달된 포트에 연결합니다.

   # curl https://192.0.2.1:443

2. 선택 사항: net.ipv4.conf.all.route_localnet 커널 매개변수가 활성화되어 있는지 확인합니다.

   # sysctl net.ipv4.conf.all.route_localnet
   net.ipv4.conf.all.route_localnet = 1

3. 가 <example_policy> 활성화되어 있고 필요한 설정, 특히 소스 IP 주소와 포트, 사용할 프로토콜, 대상 IP 주소와 포트가 포함되어 있는지 확인합니다.

   # firewall-cmd --info-policy=<example_policy>
   example_policy (active)
     priority: -1
     target: CONTINUE
     ingress-zones: HOST
     egress-zones: ANY
     services:
     ports:
     protocols:
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:
   	rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"