방화벽 및 패킷 필터 구성

절차

1. 사용 가능한 방화벽 영역을 나열합니다.

   # firewall-cmd --get-zones

   Copy to Clipboard Toggle word wrap

   firewall-cmd --get-zones 명령은 시스템에서 사용할 수 있는 모든 영역을 표시하지만 특정 영역에 대한 세부 정보는 표시하지 않습니다. 모든 영역에 대한 자세한 정보를 보려면 firewall-cmd --list-all-zones 명령을 사용합니다.

2. 이 구성에 사용할 영역을 선택합니다.

3. 선택한 영역에 대한 방화벽 설정을 수정합니다. 예를 들어 SSH 서비스를 허용하고 ftp 서비스를 제거하려면 다음을 수행합니다.

   # firewall-cmd --add-service=ssh --zone=<your_chosen_zone>
   # firewall-cmd --remove-service=ftp --zone=<same_chosen_zone>

   Copy to Clipboard Toggle word wrap

4. 방화벽 영역에 네트워크 인터페이스를 할당합니다.

   1. 사용 가능한 네트워크 인터페이스를 나열합니다.

      # firewall-cmd --get-active-zones

      Copy to Clipboard Toggle word wrap

      영역의 작업은 해당 구성과 일치하는 네트워크 인터페이스 또는 소스 주소 범위가 있는지에 따라 결정됩니다. 기본 영역은 분류되지 않은 트래픽에 대해 활성 상태이지만 트래픽이 규칙과 일치하지 않는 경우 항상 활성 상태인 것은 아닙니다.

   2. 선택한 영역에 네트워크 인터페이스를 할당합니다.

      # firewall-cmd --zone=<your_chosen_zone> --change-interface=<interface_name> --permanent

      Copy to Clipboard Toggle word wrap

      영역에 네트워크 인터페이스를 할당하는 것은 특정 인터페이스(물리적 또는 가상)의 모든 트래픽에 일관된 방화벽 설정을 적용하는 데 더 적합합니다.

      firewall-cmd 명령을 --permanent 옵션과 함께 사용하는 경우 종종 NetworkManager 연결 프로필을 업데이트하여 방화벽 구성을 영구적으로 변경해야 합니다. firewalld 와 NetworkManager 간의 통합은 일관된 네트워크 및 방화벽 설정을 보장합니다.

검증

1. 선택한 영역에 대한 업데이트된 설정을 표시합니다.

   # firewall-cmd --zone=<your_chosen_zone> --list-all

   Copy to Clipboard Toggle word wrap

   명령 출력은 할당된 서비스, 네트워크 인터페이스 및 네트워크 연결(소스)을 포함한 모든 영역 설정을 표시합니다.

1. 현재 기본 영역을 표시합니다.

   # firewall-cmd --get-default-zone

   Copy to Clipboard Toggle word wrap

2. 새 기본 영역을 설정합니다.

   # firewall-cmd --set-default-zone <zone_name>

   Copy to Clipboard Toggle word wrap
   참고

   이 절차에서는 --permanent 옵션이 없어도 영구적인 설정입니다.

1. 활성 영역 및 할당된 인터페이스를 나열합니다.

   # firewall-cmd --get-active-zones

   Copy to Clipboard Toggle word wrap

2. 인터페이스를 다른 영역에 할당합니다.

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

   Copy to Clipboard Toggle word wrap

절차

1. NetworkManager 연결 프로필에 영역을 할당합니다.

   # nmcli connection modify profile connection.zone zone_name

   Copy to Clipboard Toggle word wrap

2. 연결을 활성화합니다.

   # nmcli connection up profile

   Copy to Clipboard Toggle word wrap

절차

1. 연결 프로필의 경로와 해당 형식을 결정합니다.

   # nmcli -f NAME,FILENAME connection
   NAME    FILENAME
   enp1s0  /etc/NetworkManager/system-connections/enp1s0.nmconnection
   enp7s0  /etc/sysconfig/network-scripts/ifcfg-enp7s0

   Copy to Clipboard Toggle word wrap

   NetworkManager는 서로 다른 연결 프로필 형식에 대해 별도의 디렉터리 및 파일 이름을 사용합니다.

   • /etc/NetworkManager/system-connections/ <connection_name > .nmconnection 파일의 프로필은 keyfile 형식을 사용합니다.
   • /etc/sysconfig/network-scripts/ifcfg- <interface_name > 파일의 프로필은 ifcfg 형식을 사용합니다.

2. 형식에 따라 해당 파일을 업데이트합니다.

   • 파일이 키 파일 형식을 사용하는 경우 zone= <name >을 /etc/NetworkManager/system-connections/ <connection_name> .nmconnection 파일의 [connection] 섹션에 추가합니다.

     [connection]
     ...
     zone=internal

     Copy to Clipboard Toggle word wrap

   • 파일에서 ifcfg 형식을 사용하는 경우 ZONE= <name >을 /etc/sysconfig/network-scripts/ifcfg- <interface_name > 파일에 추가합니다.

     ZONE=internal

     Copy to Clipboard Toggle word wrap

3. 연결 프로필을 다시 로드합니다.

   # nmcli connection reload

   Copy to Clipboard Toggle word wrap

4. 연결 프로필 다시 활성화

   # nmcli connection up <profile_name>

   Copy to Clipboard Toggle word wrap

절차

1. 새 영역을 생성합니다.

   # firewall-cmd --permanent --new-zone=zone-name

   Copy to Clipboard Toggle word wrap

2. 새 영역을 사용할 수 있도록 설정합니다.

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

   명령은 이미 실행 중인 네트워크 서비스를 중단하지 않고 최근 방화벽 구성에 변경 사항을 적용합니다.

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 네트워킹 을 클릭합니다.

3. Edit rules and zones 버튼을 클릭합니다.

   

   Edit rules and zones 버튼이 표시되지 않으면 관리자 권한으로 웹 콘솔에 로그인합니다.

4. 방화벽 섹션에서 새 영역 추가 를 클릭합니다.

5. 영역 추가 대화 상자의 신뢰 수준 옵션에서 영역을 선택합니다.

   웹 콘솔은 firewalld 서비스에 사전 정의된 모든 영역을 표시합니다.

6. 인터페이스 부분에서 선택한 영역이 적용되는 인터페이스 또는 인터페이스를 선택합니다.

7. 허용된 주소 부분에서 영역이 적용되는지 여부를 선택할 수 있습니다.

   • 전체 서브넷

   • 또는 다음 형식의 IP 주소 범위:

     • 192.168.1.0
     • 192.168.1.0/24
     • 192.168.1.0/24, 192.168.1.0

8. 영역 추가 버튼을 클릭합니다.

   

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 네트워킹 을 클릭합니다.

3. Edit rules and zones 버튼을 클릭합니다.

   

   Edit rules and zones 버튼이 표시되지 않으면 관리자 권한으로 웹 콘솔에 로그인합니다.

4. 제거하려는 영역에서 옵션 아이콘을 클릭합니다.

   

5. 삭제를 클릭합니다.

1. 기본 대상을 보려면 특정 영역에 대한 정보를 나열합니다.

   # firewall-cmd --zone=zone-name --list-all

   Copy to Clipboard Toggle word wrap

2. 영역에 새 대상을 설정합니다.

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

   Copy to Clipboard Toggle word wrap

절차

1. firewalld 의 서비스가 아직 허용되지 않았는지 확인합니다.

   # firewall-cmd --list-services
   ssh dhcpv6-client

   Copy to Clipboard Toggle word wrap

   명령은 기본 영역에서 활성화된 서비스를 나열합니다.

2. firewalld 에서 사전 정의된 모든 서비스를 나열합니다.

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...

   Copy to Clipboard Toggle word wrap

   명령은 기본 영역에 사용 가능한 서비스 목록을 표시합니다.

3. firewalld 에서 허용하는 서비스 목록에 서비스를 추가합니다.

   # firewall-cmd --add-service=<service_name>

   Copy to Clipboard Toggle word wrap

   명령은 지정된 서비스를 기본 영역에 추가합니다.

4. 새 설정을 영구적으로 만듭니다.

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   명령은 이러한 런타임 변경 사항을 방화벽의 영구 구성에 적용합니다. 기본적으로 이러한 변경 사항은 기본 영역의 구성에 적용됩니다.

검증

1. 모든 영구 방화벽 규칙을 나열합니다.

   # firewall-cmd --list-all --permanent
   public
     target: default
     icmp-block-inversion: no
     interfaces:
     sources:
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     forward: no
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:

   Copy to Clipboard Toggle word wrap

   명령은 기본 방화벽 영역(공용)의 영구 방화벽 규칙을 사용하여 전체 구성을 표시합니다.

2. firewalld 서비스의 영구 구성의 유효성을 확인합니다.

   # firewall-cmd --check-config
   success

   Copy to Clipboard Toggle word wrap

   영구 구성이 유효하지 않으면 명령에서 추가 세부 정보와 함께 오류를 반환합니다.

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

   Copy to Clipboard Toggle word wrap

   영구 구성 파일을 수동으로 검사하여 설정을 확인할 수도 있습니다. 기본 설정 파일은 /etc/firewalld/firewalld.conf 입니다. 영역별 구성 파일은 /etc/firewalld/zones/ 디렉터리에 있으며 정책은 /etc/firewalld/policies/ 디렉터리에 있습니다.

절차

1. 사전 정의 또는 사용자 지정 서비스를 활성화하거나 비활성화하려면 다음을 수행합니다.

   1. firewall-config 유틸리티를 시작하고 서비스를 구성할 네트워크 영역을 선택합니다.
   2. 영역 탭을 선택한 다음 아래의 서비스 탭을 선택합니다.
   3. 신뢰할 각 서비스 유형에 대한 확인란을 선택하거나 선택한 영역에서 서비스를 차단하는 확인란을 지웁니다.

2. 서비스를 편집하려면 다음을 수행합니다.

   1. firewall-config 유틸리티를 시작합니다.
   2. Configuration (구성)이라는 레이블이 지정된 메뉴에서 Permanent (영구)를 선택합니다. 서비스 창 하단에 추가 아이콘 및 메뉴 버튼이 나타납니다.
   3. 구성할 서비스를 선택합니다.

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 네트워킹 을 클릭합니다.

3. Edit rules and zones 버튼을 클릭합니다.

   

   Edit rules and zones 버튼이 표시되지 않으면 관리자 권한으로 웹 콘솔에 로그인합니다.

4. 방화벽 섹션에서 서비스를 추가할 영역을 선택하고 서비스 추가 를 클릭합니다.

   

5. 서비스 추가 대화 상자에서 방화벽에서 활성화할 서비스를 찾습니다.

6. 시나리오에 따라 서비스를 활성화합니다.

   

7. 서비스 추가를 클릭합니다.

절차

1. RHEL 9 웹 콘솔에 로그인합니다.

   자세한 내용은 웹 콘솔에 로그인 을 참조하십시오.

2. 네트워킹 을 클릭합니다.

3. Edit rules and zones 버튼을 클릭합니다.

   

   Edit rules and zones 버튼이 표시되지 않으면 관리 권한으로 웹 콘솔에 로그인합니다.

4. 방화벽 섹션에서 사용자 지정 포트를 구성할 영역을 선택하고 서비스 추가 를 클릭합니다.

   

5. 서비스 추가 대화 상자에서 사용자 지정 포트 라디오 버튼을 클릭합니다.

6. TCP 및 UDP 필드에서 예제에 따라 포트를 추가합니다. 다음 형식으로 포트를 추가할 수 있습니다.

   • 22와 같은 포트 번호
   • 5900-5910과 같은 포트 번호 범위
   • nfs, rsync와 같은 별칭
   참고

   각 필드에 여러 값을 추가할 수 있습니다. 값은 쉼표 없이 쉼표로 구분해야 합니다. 예를 들면 다음과 같습니다. 8080,8081,http

7. TCP filed에 포트 번호를 추가한 후, UDP 가 제출되었거나 둘 다되면 Name 필드에서 서비스 이름을 확인합니다.

   Name 필드에는 이 포트가 예약된 서비스 이름이 표시됩니다. 이 포트를 자유롭게 사용할 수 있고 이 포트에서 서버가 통신할 필요가 없는 경우 이름을 다시 작성할 수 있습니다.

8. 이름 필드에 정의된 포트를 포함한 서비스의 이름을 추가합니다.

9. 포트 추가 버튼을 클릭합니다.

   

절차

1. 현재 활성화된 방화벽 영역을 확인합니다.

   # firewall-cmd --get-active-zones

   Copy to Clipboard Toggle word wrap

2. 적절한 영역에 HTTPS 서비스를 추가합니다.

   # firewall-cmd --zone=<zone_name> --add-service=https --permanent

   Copy to Clipboard Toggle word wrap

3. 방화벽 구성을 다시 로드합니다.

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

검증

1. firewalld 에서 포트가 열려 있는지 확인합니다.

   • 포트 번호를 지정하여 포트를 연 경우 다음을 입력합니다.

     # firewall-cmd --zone=<zone_name> --list-all

     Copy to Clipboard Toggle word wrap

   • 서비스 정의를 지정하여 포트를 연 경우 다음을 입력합니다.

     # firewall-cmd --zone=<zone_name> --list-services

     Copy to Clipboard Toggle word wrap

절차

1. 허용되는 모든 포트를 나열합니다.

   # firewall-cmd --list-ports

   Copy to Clipboard Toggle word wrap

   기본적으로 이 명령은 기본 영역에서 활성화된 포트를 나열합니다.

   참고

   이 명령은 포트로 열려 있는 포트 목록만 제공합니다. 서비스로 열려 있는 열려 있는 포트는 볼 수 없습니다. 이 경우 --list-ports 대신 --list-all 옵션을 사용하는 것이 좋습니다.

2. 허용되는 포트 목록에서 포트를 제거하여 들어오는 트래픽에 대해 종료합니다.

   # firewall-cmd --remove-port=port-number/port-type

   Copy to Clipboard Toggle word wrap

   이 명령은 영역에서 포트를 제거합니다. 영역을 지정하지 않으면 기본 영역에서 포트가 제거됩니다.

3. 새 설정을 영구적으로 만듭니다.

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

   영역을 지정하지 않으면 이 명령은 런타임 변경 사항을 기본 영역의 영구 구성에 적용합니다.

검증

1. 활성 영역을 나열하고 검사할 영역을 선택합니다.

   # firewall-cmd --get-active-zones

   Copy to Clipboard Toggle word wrap

2. 선택한 영역에서 현재 열려 있는 포트를 나열하여 사용되지 않거나 불필요한 포트가 닫혀 있는지 확인합니다.

   # firewall-cmd --zone=<zone_to_inspect> --list-ports

   Copy to Clipboard Toggle word wrap

절차

1. 네트워킹 트래픽을 즉시 비활성화하려면 다음에서 패닉 모드를 전환합니다.

   # firewall-cmd --panic-on

   Copy to Clipboard Toggle word wrap

2. panic 모드를 전환하면 방화벽을 영구 설정으로 되돌립니다. 패닉 모드를 전환하려면 다음을 입력합니다.

   # firewall-cmd --panic-off

   Copy to Clipboard Toggle word wrap

절차

1. firewall-config 도구를 시작하고 변경할 설정이 있는 네트워크 영역을 선택합니다.
2. 프로토콜 탭을 선택하고 오른쪽에 있는 추가 버튼을 클릭합니다. 프로토콜 창이 열립니다.
3. 목록에서 프로토콜을 선택하거나 기타 프로토콜 확인란을 선택하고 필드에 프로토콜을 입력합니다.

절차

1. 사용 가능한 모든 영역을 나열합니다.

   # firewall-cmd --get-zones

   Copy to Clipboard Toggle word wrap

2. 영구 모드의 신뢰할 수 있는 영역에 소스 IP를 추가합니다.

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

   Copy to Clipboard Toggle word wrap

3. 새 설정을 영구적으로 만듭니다.

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

절차

1. 필수 영역에 허용되는 소스를 나열합니다.

   # firewall-cmd --zone=zone-name --list-sources

   Copy to Clipboard Toggle word wrap

2. 영역에서 소스를 영구적으로 제거합니다.

   # firewall-cmd --zone=zone-name --remove-source=<source>

   Copy to Clipboard Toggle word wrap

3. 새 설정을 영구적으로 만듭니다.

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

절차

1. 사용 가능한 모든 영역을 나열합니다.

   # firewall-cmd --get-zones
   block dmz drop external home internal public trusted work

   Copy to Clipboard Toggle word wrap

2. IP 범위를 내부 영역에 추가하여 소스에서 영역을 통해 발생하는 트래픽을 라우팅합니다.

   # firewall-cmd --zone=internal --add-source=192.0.2.0/24

   Copy to Clipboard Toggle word wrap

3. 내부 영역에 http 서비스를 추가합니다.

   # firewall-cmd --zone=internal --add-service=http

   Copy to Clipboard Toggle word wrap

4. 새 설정을 영구적으로 만듭니다.

   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

절차

1. 새 방화벽 정책을 생성합니다.

   # firewall-cmd --permanent --new-policy podmanToAny

   Copy to Clipboard Toggle word wrap

2. Podman에서 다른 영역으로의 모든 트래픽을 차단하고 Podman에서 필요한 서비스만 허용합니다.

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

   Copy to Clipboard Toggle word wrap

3. 새 Podman 영역을 생성합니다.

   # firewall-cmd --permanent --new-zone=podman

   Copy to Clipboard Toggle word wrap

4. 정책의 수신 영역을 정의합니다.

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

   Copy to Clipboard Toggle word wrap

5. 다른 모든 영역에 대한 송신 영역을 정의합니다.

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   Copy to Clipboard Toggle word wrap

   송신 영역을 ANY로 설정하면 Podman에서 다른 영역으로 필터링합니다. 호스트에 필터링하려면 송신 영역을 HOST로 설정합니다.

6. firewalld 서비스를 다시 시작합니다.

   # systemctl restart firewalld

   Copy to Clipboard Toggle word wrap

절차

1. 방화벽 정책을 생성합니다.

   # firewall-cmd --permanent --new-policy <example_policy>

   Copy to Clipboard Toggle word wrap

   영역과 달리 정책은 입력, 출력 및 전달된 트래픽에 대한 패킷 필터링을 허용합니다. 로컬에서 웹 서버, 컨테이너 또는 가상 머신에서 끝점으로 트래픽을 전달하려면 이러한 기능이 필요하므로 중요합니다.

2. 라우터 자체에서 로컬 IP 주소에 연결하고 이 트래픽을 전달할 수 있도록 수신 및 송신 트래픽에 대한 심볼릭 영역을 구성합니다.

   # firewall-cmd --permanent --policy=<example_policy> --add-ingress-zone=HOST
   # firewall-cmd --permanent --policy=<example_policy> --add-egress-zone=ANY

   Copy to Clipboard Toggle word wrap

   --add-ingress-zone=HOST 옵션은 로컬에서 생성되어 로컬 호스트에서 전송된 패킷을 나타냅니다. --add-egress-zone=ANY 옵션은 모든 영역으로 이동하는 트래픽을 나타냅니다.

3. 트래픽을 웹 서버로 전달하는 리치 규칙을 추가합니다.

   # firewall-cmd --permanent --policy=<example_policy> --add-rich-rule='rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"'

   Copy to Clipboard Toggle word wrap

   리치 규칙은 라우터의 IP 주소에 있는 포트 443에서 웹 서버(192.51.100.20)의 IP 주소의 포트 443으로 TCP 트래픽을 전달합니다.

4. 방화벽 구성 파일을 다시 로드합니다.

   # firewall-cmd --reload
   success

   Copy to Clipboard Toggle word wrap

5. 커널에서 127.0.0.0/8의 라우팅을 활성화합니다.

   • 영구 변경 사항의 경우 다음을 실행합니다.

     # echo "net.ipv4.conf.all.route_localnet=1" > /etc/sysctl.d/90-enable-route-localnet.conf

     Copy to Clipboard Toggle word wrap

     이 명령은 route_localnet 커널 매개 변수를 영구적으로 구성하고 시스템이 재부팅된 후 설정이 보존되도록 합니다.

   • 시스템 재부팅없이 설정을 즉시 적용하려면 다음을 실행합니다.

     # sysctl -p /etc/sysctl.d/90-enable-route-localnet.conf

     Copy to Clipboard Toggle word wrap

     sysctl 명령은 변경 사항을 적용하는 데 유용하지만 시스템 재부팅 시 구성은 유지되지 않습니다.

검증

1. 라우터의 IP 주소 및 웹 서버로 전달된 포트에 연결합니다.

   # curl https://192.0.2.1:443

   Copy to Clipboard Toggle word wrap

2. 선택 사항: net.ipv4.conf.all.route_localnet 커널 매개변수가 활성화되어 있는지 확인합니다.

   # sysctl net.ipv4.conf.all.route_localnet
   net.ipv4.conf.all.route_localnet = 1

   Copy to Clipboard Toggle word wrap

3. 가 <example_policy> 활성화되어 있고 필요한 설정, 특히 소스 IP 주소와 포트, 사용할 프로토콜, 대상 IP 주소와 포트가 포함되어 있는지 확인합니다.

   # firewall-cmd --info-policy=<example_policy>
   example_policy (active)
     priority: -1
     target: CONTINUE
     ingress-zones: HOST
     egress-zones: ANY
     services:
     ports:
     protocols:
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:
   	rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"

   Copy to Clipboard Toggle word wrap

절차

1. IP 마스커레이딩이 활성화되어 있는지 확인하려면 (예: 외부 영역의 경우) 다음 명령을 root 로 입력합니다.

   # firewall-cmd --zone=external --query-masquerade

   Copy to Clipboard Toggle word wrap

   이 명령은 활성화된 경우 종료 상태 0 으로 yes 를 출력합니다. 종료 상태 1 이 없으면 no 가 출력됩니다. zone 이 생략되면 기본 영역이 사용됩니다.

2. IP 마스커레이딩을 활성화하려면 root 로 다음 명령을 입력합니다.

   # firewall-cmd --zone=external --add-masquerade

   Copy to Clipboard Toggle word wrap
3. 이 설정을 영구적으로 설정하려면 명령에 --permanent 옵션을 전달합니다.

4. IP 마스커레이딩을 비활성화하려면 root 로 다음 명령을 입력합니다.

   # firewall-cmd --zone=external --remove-masquerade

   Copy to Clipboard Toggle word wrap

   이 설정을 영구적으로 만들려면 --permanent 옵션을 명령에 전달합니다.

절차

1. 다음 콘텐츠를 사용하여 /etc/sysctl.d/90-enable-IP-forwarding.conf 파일을 생성합니다.

   net.ipv4.ip_forward=1

   Copy to Clipboard Toggle word wrap

   이 설정은 커널에서 IP 전달을 활성화합니다. 내부 RHEL 서버가 라우터 역할을 하고 네트워크에서 네트워크로 패킷을 전달합니다.

2. /etc/sysctl.d/90-enable-IP-forwarding.conf 파일에서 설정을 로드합니다.

   # sysctl -p /etc/sysctl.d/90-enable-IP-forwarding.conf

   Copy to Clipboard Toggle word wrap

3. 들어오는 HTTP 트래픽을 전달합니다.

   # firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toaddr=198.51.100.10:toport=8080 --permanent

   Copy to Clipboard Toggle word wrap

   이전 명령은 다음 설정으로 DNAT 규칙을 정의합니다.

   • --zone=public - DNAT 규칙을 구성하는 방화벽 영역입니다. 필요한 모든 영역에 맞게 조정할 수 있습니다.
   • --add-forward-port - 포트 전달 규칙을 추가 중임을 나타내는 옵션입니다.
   • port=80 - 외부 대상 포트입니다.
   • proto=tcp - TCP 트래픽을 전달함을 나타내는 프로토콜입니다.
   • toaddr=198.51.100.10 - 대상 IP 주소입니다.
   • toport=8080 - 내부 서버의 대상 포트입니다.
   • --permanent - 재부팅 시 DNAT 규칙을 유지할 수 있는 옵션입니다.

4. 방화벽 구성을 다시 로드하여 변경 사항을 적용합니다.

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

절차

1. 다음 콘텐츠를 사용하여 /etc/sysctl.d/90-enable-IP-forwarding.conf 파일을 생성합니다.

   net.ipv4.ip_forward=1

   Copy to Clipboard Toggle word wrap

   이 설정은 커널에서 IP 전달을 활성화합니다.

2. /etc/sysctl.d/90-enable-IP-forwarding.conf 파일에서 설정을 로드합니다.

   # sysctl -p /etc/sysctl.d/90-enable-IP-forwarding.conf

   Copy to Clipboard Toggle word wrap

3. NAT 리디렉션 규칙을 생성합니다.

   # firewall-cmd --zone=public --add-forward-port=port=<standard_port>:proto=tcp:toport=<non_standard_port> --permanent

   Copy to Clipboard Toggle word wrap

   이전 명령은 다음 설정으로 NAT 리디렉션 규칙을 정의합니다.

   • --zone=public - 규칙을 구성하는 방화벽 영역입니다. 필요한 모든 영역에 맞게 조정할 수 있습니다.
   • --add-forward-port=port= <non_standard_port > - 들어오는 트래픽을 처음 수신하는 소스 포트를 사용하여 포트 전달(리렉션) 규칙을 추가 중임을 나타내는 옵션입니다.
   • proto=tcp - TCP 트래픽을 리디렉션함을 나타내는 프로토콜입니다.
   • toport=<standard_port > - 소스 포트에서 수신한 후 들어오는 트래픽을 리디렉션해야 하는 대상 포트입니다.
   • --permanent - 다시 부팅 시 규칙을 유지할 수 있는 옵션입니다.

4. 방화벽 구성을 다시 로드하여 변경 사항을 적용합니다.

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

절차

1. 사용 가능한 ICMP 유형 및 코드를 나열합니다.

   # firewall-cmd --get-icmptypes
   address-unreachable bad-header beyond-scope communication-prohibited destination-unreachable echo-reply echo-request failed-policy fragmentation-needed host-precedence-violation host-prohibited host-redirect host-unknown host-unreachable
   ...

   Copy to Clipboard Toggle word wrap

   사전 정의된 목록에서 허용 또는 차단할 ICMP 유형 및 코드를 선택합니다.

2. 특정 ICMP 유형을 다음과 같이 필터링합니다.

   • ICMP 유형 허용:

     # firewall-cmd --zone=<target-zone> --remove-icmp-block=echo-request --permanent

     Copy to Clipboard Toggle word wrap

     명령은 echo requests ICMP 유형의 기존 차단 규칙을 제거합니다.

   • ICMP 유형 차단:

     # firewall-cmd --zone=<target-zone> --add-icmp-block=redirect --permanent

     Copy to Clipboard Toggle word wrap

     이 명령을 사용하면 리디렉션 메시지 ICMP 유형이 방화벽에 의해 차단됩니다.

3. 방화벽 구성을 다시 로드하여 변경 사항을 적용합니다.

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

절차

1. 의미 있는 이름으로 IP 세트를 생성합니다.

   # firewall-cmd --permanent --new-ipset=allowlist --type=hash:ip

   Copy to Clipboard Toggle word wrap

   allowlist 라는 새 IP 세트에는 방화벽에서 허용할 IP 주소가 포함되어 있습니다.

2. IP 세트에 동적 업데이트를 추가합니다.

   # firewall-cmd --permanent --ipset=allowlist --add-entry=198.51.100.10

   Copy to Clipboard Toggle word wrap

   이 구성은 방화벽에서 네트워크 트래픽을 전달할 수 있는 새로 추가된 IP 주소로 허용 목록 IP 세트를 업데이트합니다.

3. 이전에 생성한 IP 세트를 참조하는 방화벽 규칙을 생성합니다.

   # firewall-cmd --permanent --zone=public --add-source=ipset:allowlist

   Copy to Clipboard Toggle word wrap

   이 규칙이 없으면 IP 세트가 네트워크 트래픽에 영향을 미치지 않습니다. 기본 방화벽 정책이 우선합니다.

4. 방화벽 구성을 다시 로드하여 변경 사항을 적용합니다.

   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

검증

1. 모든 IP 세트를 나열합니다.

   # firewall-cmd --get-ipsets
   allowlist

   Copy to Clipboard Toggle word wrap

2. 활성 규칙을 나열합니다.

   # firewall-cmd --list-all
   public (active)
     target: default
     icmp-block-inversion: no
     interfaces: enp0s1
     sources: ipset:allowlist
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     ...

   Copy to Clipboard Toggle word wrap

   명령줄 출력의 소스 섹션에서는 특정 방화벽 영역에 대한 액세스 허용 또는 거부되는 트래픽(호스트, 인터페이스, IP 세트, 서브넷 등)에 대한 인사이트를 제공합니다. 이 경우 허용 목록 IP 세트에 포함된 IP 주소는 공용 영역의 방화벽을 통해 트래픽을 전달할 수 있습니다.

3. IP 세트의 내용을 살펴봅니다.

   # cat /etc/firewalld/ipsets/allowlist.xml
   <?xml version="1.0" encoding="utf-8"?>
   <ipset type="hash:ip">
     <entry>198.51.100.10</entry>
   </ipset>

   Copy to Clipboard Toggle word wrap

절차

1. 잠금이 활성화되었는지 여부를 쿼리하려면 다음을 수행합니다.

   # firewall-cmd --query-lockdown

   Copy to Clipboard Toggle word wrap

2. 다음 중 하나를 통해 잠금 구성을 관리합니다.

   • 잠금 활성화:

     # firewall-cmd --lockdown-on

     Copy to Clipboard Toggle word wrap

   • 잠금 비활성화:

     # firewall-cmd --lockdown-off

     Copy to Clipboard Toggle word wrap

절차

1. 커널에서 패킷 전달을 활성화합니다.

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

   Copy to Clipboard Toggle word wrap

2. 영역 내 전달을 활성화할 인터페이스가 내부 영역에만 할당되도록 합니다.

   # firewall-cmd --get-active-zones

   Copy to Clipboard Toggle word wrap

3. 현재 인터페이스가 내부 가 아닌 영역에 할당되면 인터페이스를 다시 할당합니다.

   # firewall-cmd --zone=internal --change-interface=interface_name --permanent

   Copy to Clipboard Toggle word wrap

4. enp1s0 및 wlp0s20 인터페이스를 내부 영역에 추가합니다.

   # firewall-cmd --zone=internal --add-interface=enp1s0 --add-interface=wlp0s20

   Copy to Clipboard Toggle word wrap

5. 지역 내 전달을 활성화합니다.

   # firewall-cmd --zone=internal --add-forward

   Copy to Clipboard Toggle word wrap

1. 영역 전달을 활성화한 호스트의 enp1s0 인터페이스와 동일한 네트워크에 있는 호스트에 로그인합니다.

2. ncat 으로 echo 서비스를 시작하여 연결을 테스트합니다.

   # ncat -e /usr/bin/cat -l 12345

   Copy to Clipboard Toggle word wrap
3. wlp0s20 인터페이스와 동일한 네트워크에 있는 호스트에 로그인합니다.

4. enp1s0 과 동일한 네트워크에 있는 호스트에서 실행 중인 에코 서버에 연결합니다.

   # ncat <other_host> 12345

   Copy to Clipboard Toggle word wrap
5. 어떤 것을 입력하고 Enter 키를 누릅니다. 텍스트가 다시 전송되었는지 확인합니다.

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Reset firewalld example
     hosts: managed-node-01.example.com
     tasks:
       - name: Reset firewalld
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - previous: replaced

   Copy to Clipboard Toggle word wrap

   예제 플레이북에 지정된 설정은 다음과 같습니다.

   이전: 교체

   기존 사용자 정의 설정을 모두 제거하고 firewalld 설정을 기본값으로 재설정합니다. 이전:replaced 매개변수를 다른 설정과 결합하면 firewall 역할은 새 설정을 적용하기 전에 기존 설정을 모두 제거합니다.

   플레이북에 사용되는 모든 변수에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.firewall/README.md 파일을 참조하십시오.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. 플레이북을 실행합니다.

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Forward incoming traffic on port 8080 to 443
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - forward_port: 8080/tcp;443;
               state: enabled
               runtime: true
               permanent: true

   Copy to Clipboard Toggle word wrap

   예제 플레이북에 지정된 설정은 다음과 같습니다.

   forward_port: 8080/tcp;443

   TCP 프로토콜을 사용하여 로컬 포트 8080으로 들어오는 트래픽은 포트 443으로 전달됩니다.

   runtime: true

   런타임 구성에서 변경 사항을 활성화합니다. 기본값은 true 로 설정됩니다.

   플레이북에 사용되는 모든 변수에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.firewall/README.md 파일을 참조하십시오.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. 플레이북을 실행합니다.

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/playbook.yml )을 생성합니다.

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Creating a DMZ with access to HTTPS port and masquerading for hosts in DMZ
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - zone: dmz
               interface: enp1s0
               service: https
               state: enabled
               runtime: true
               permanent: true

   Copy to Clipboard Toggle word wrap

   플레이북에 사용되는 모든 변수에 대한 자세한 내용은 제어 노드의 /usr/share/ansible/roles/rhel-system-roles.firewall/README.md 파일을 참조하십시오.

2. 플레이북 구문을 확인합니다.

   $ ansible-playbook --syntax-check ~/playbook.yml

   Copy to Clipboard Toggle word wrap

   이 명령은 구문만 검증하고 잘못되었지만 유효한 구성으로부터 보호하지 않습니다.

3. 플레이북을 실행합니다.

   $ ansible-playbook ~/playbook.yml

   Copy to Clipboard Toggle word wrap

절차

1. 테이블이 IPv4 및 IPv6 패킷을 모두 처리할 수 있도록 inet 주소 Family를 사용하여 nftables_svc 라는 테이블을 만듭니다.

   # nft add table inet nftables_svc

   Copy to Clipboard Toggle word wrap

2. 들어오는 네트워크 트래픽을 처리하는 INPUT 라는 기본 체인을 inet nftables_svc 테이블에 추가합니다.

   # nft add chain inet nftables_svc INPUT { type filter hook input priority filter \; policy accept \; }

   Copy to Clipboard Toggle word wrap

   쉘이 명령 끝으로 해석되는 것을 방지하기 위해 \ 문자를 사용하여 이름이 0으로 이스케이프합니다.

3. INPUT 체인에 규칙을 추가합니다. 예를 들어 포트 22 및 443에서 들어오는 TCP 트래픽을 허용하고 INPUT 체인의 마지막 규칙으로 IMP(Internet Control Message Protocol) 포트 연결할 수 없는 메시지가 있는 다른 들어오는 트래픽을 거부합니다.

   # nft add rule inet nftables_svc INPUT tcp dport 22 accept
   # nft add rule inet nftables_svc INPUT tcp dport 443 accept
   # nft add rule inet nftables_svc INPUT reject with icmpx type port-unreachable

   Copy to Clipboard Toggle word wrap

   다음과 같이 nft add rule 명령을 입력하면 nft 는 명령을 실행할 때와 동일한 순서로 규칙을 체인에 추가합니다.

4. 프로세스를 포함한 현재 규칙 세트를 표시합니다.

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

   Copy to Clipboard Toggle word wrap

5. handle 3이 있는 기존 규칙 앞에 규칙을 삽입합니다. 예를 들어 포트 636에서 TCP 트래픽을 허용하는 규칙을 삽입하려면 다음을 입력합니다.

   # nft insert rule inet nftables_svc INPUT position 3 tcp dport 636 accept

   Copy to Clipboard Toggle word wrap

6. handle 3이 있는 기존 규칙 뒤에 규칙을 추가합니다. 예를 들어 포트 80에서 TCP 트래픽을 허용하는 규칙을 삽입하려면 다음을 입력합니다.

   # nft add rule inet nftables_svc INPUT position 3 tcp dport 80 accept

   Copy to Clipboard Toggle word wrap

7. handles를 사용하여 규칙 세트를 다시 표시합니다. 나중에 추가된 규칙이 지정된 위치에 추가되었는지 확인합니다.

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       reject # handle 4
     }
   }

   Copy to Clipboard Toggle word wrap

8. handle 6을 사용하여 규칙을 제거합니다.

   # nft delete rule inet nftables_svc INPUT handle 6

   Copy to Clipboard Toggle word wrap

   규칙을 제거하려면 handle을 지정해야 합니다.

9. 규칙 세트를 표시하고 제거된 규칙이 더 이상 존재하지 않는지 확인합니다.

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

   Copy to Clipboard Toggle word wrap

10. INPUT 체인에서 나머지 모든 규칙을 제거합니다.

    # nft flush chain inet nftables_svc INPUT

    Copy to Clipboard Toggle word wrap

11. 규칙 세트를 표시하고 INPUT 체인이 비어 있는지 확인합니다.

    # nft list table inet nftables_svc
    table inet nftables_svc {
      chain INPUT {
        type filter hook input priority filter; policy accept
      }
    }

    Copy to Clipboard Toggle word wrap

12. INPUT 체인을 삭제합니다.

    # nft delete chain inet nftables_svc INPUT

    Copy to Clipboard Toggle word wrap

    이 명령을 사용하여 여전히 규칙이 포함된 체인을 삭제할 수도 있습니다.

13. 규칙 세트를 표시하고 INPUT 체인이 삭제되었는지 확인합니다.

    # nft list table inet nftables_svc
    table inet nftables_svc {
    }

    Copy to Clipboard Toggle word wrap

14. nftables_svc 테이블을 삭제합니다.

    # nft delete table inet nftables_svc

    Copy to Clipboard Toggle word wrap

    이 명령을 사용하여 체인이 여전히 포함된 테이블을 삭제할 수도 있습니다.

    참고

    전체 규칙 세트를 삭제하려면 별도의 명령으로 모든 규칙, 체인 및 테이블을 수동으로 삭제하는 대신 nft flush ruleset 명령을 사용합니다.

절차

1. iptables 및 ip6tables 규칙을 파일에 작성합니다.

   # iptables-save >/root/iptables.dump
   # ip6tables-save >/root/ip6tables.dump

   Copy to Clipboard Toggle word wrap

2. 덤프 파일을 nftables 명령으로 변환합니다.

   # iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft
   # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft

   Copy to Clipboard Toggle word wrap
3. 및 필요한 경우 생성된 nftables 규칙을 수동으로 업데이트합니다.

4. 생성된 파일을 로드할 nftables 서비스를 활성화하려면 /etc/sysconfig/nftables.conf 파일에 다음을 추가합니다.

   include "/etc/nftables/ruleset-migrated-from-iptables.nft"
   include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"

   Copy to Clipboard Toggle word wrap

5. iptables 서비스를 중지하고 비활성화합니다.

   # systemctl disable --now iptables

   Copy to Clipboard Toggle word wrap

   사용자 지정 스크립트를 사용하여 iptables 규칙을 로드한 경우 스크립트가 더 이상 자동으로 시작되지 않고 재부팅하여 모든 테이블을 플러시해야 합니다.

6. nftables 서비스를 활성화하고 시작합니다.

   # systemctl enable --now nftables

   Copy to Clipboard Toggle word wrap