Redes de segurança

Procedimento

1. Inicie o daemon sshd na sessão atual e configure-o para iniciar automaticamente no momento da inicialização:

   # systemctl start sshd
   # systemctl enable sshd

   Copy to Clipboard Toggle word wrap

2. Para especificar endereços diferentes do padrão 0.0.0.0 (IPv4) ou :: (IPv6) para a diretiva ListenAddress no arquivo de configuração /etc/ssh/sshd_config e para usar uma configuração de rede dinâmica mais lenta, adicione a dependência da unidade alvo network-online.target ao arquivo de unidade sshd.service. Para conseguir isso, crie o arquivo /etc/systemd/system/sshd.service.d/local.conf com o seguinte conteúdo:

   [Unit]
   Wants=network-online.target
   After=network-online.target

   Copy to Clipboard Toggle word wrap
3. Analise se as configurações do servidor OpenSSH no arquivo de configuração /etc/ssh/sshd_config atendem aos requisitos de seu cenário.

4. Opcionalmente, altere a mensagem de boas-vindas que seu servidor OpenSSH exibe antes que um cliente se autentique, editando o arquivo /etc/issue, por exemplo:

   Welcome to ssh-server.example.com
   Warning: By accessing this server, you agree to the referenced terms and conditions.

   Copy to Clipboard Toggle word wrap

   Certifique-se de que a opção Banner não seja comentada em /etc/ssh/sshd_config e seu valor contenha /etc/issue:

   # less /etc/ssh/sshd_config | grep Banner
   Banner /etc/issue

   Copy to Clipboard Toggle word wrap

   Note que para alterar a mensagem exibida após um login bem sucedido, você tem que editar o arquivo /etc/motd no servidor. Consulte a página de manual pam_motd para maiores informações.

5. Recarregue a configuração systemd e reinicie sshd para aplicar as mudanças:

   # systemctl daemon-reload
   # systemctl restart sshd

   Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Verifique se o daemon sshd está funcionando:

   # systemctl status sshd
   ● sshd.service - OpenSSH server daemon
      Loaded: loaded (/usr/lib/systemd/system/sshd.service; enabled; vendor preset: enabled)
      Active: active (running) since Mon 2019-11-18 14:59:58 CET; 6min ago
        Docs: man:sshd(8)
              man:sshd_config(5)
    Main PID: 1149 (sshd)
       Tasks: 1 (limit: 11491)
      Memory: 1.9M
      CGroup: /system.slice/sshd.service
              └─1149 /usr/sbin/sshd -D -oCiphers=aes128-ctr,aes256-ctr,aes128-cbc,aes256-cbc -oMACs=hmac-sha2-256,>
   
   Nov 18 14:59:58 ssh-server-example.com systemd[1]: Starting OpenSSH server daemon...
   Nov 18 14:59:58 ssh-server-example.com sshd[1149]: Server listening on 0.0.0.0 port 22.
   Nov 18 14:59:58 ssh-server-example.com sshd[1149]: Server listening on :: port 22.
   Nov 18 14:59:58 ssh-server-example.com systemd[1]: Started OpenSSH server daemon.

   Copy to Clipboard Toggle word wrap

2. Conecte-se ao servidor SSH com um cliente SSH.

   # ssh user@ssh-server-example.com
   ECDSA key fingerprint is SHA256:dXbaS0RG/UzlTTku8GtXSz0S1++lPegSy31v3L/FAEc.
   Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
   Warning: Permanently added 'ssh-server-example.com' (ECDSA) to the list of known hosts.
   
   user@ssh-server-example.com's password:

   Copy to Clipboard Toggle word wrap

Procedimento

1. Liste todas as chaves fornecidas pelo módulo OpenSC PKCS #11 incluindo seus PKCS #11 URIs e salve a saída para o arquivo keys.pub:

   $ ssh-keygen -D pkcs11: > keys.pub
   $ ssh-keygen -D pkcs11:
   ssh-rsa AAAAB3NzaC1yc2E...KKZMzcQZzx pkcs11:id=%02;object=SIGN%20pubkey;token=SSH%20key;manufacturer=piv_II?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so
   ecdsa-sha2-nistp256 AAA...J0hkYnnsM= pkcs11:id=%01;object=PIV%20AUTH%20pubkey;token=SSH%20key;manufacturer=piv_II?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so

   Copy to Clipboard Toggle word wrap

2. Para permitir a autenticação usando um cartão inteligente em um servidor remoto (example.com), transfira a chave pública para o servidor remoto. Use o comando ssh-copy-id com keys.pub criado na etapa anterior:

   $ ssh-copy-id -f -i keys.pub username@example.com

   Copy to Clipboard Toggle word wrap

3. Para conectar-se a example.com usando a chave ECDSA da saída do comando ssh-keygen -D no passo 1, você pode usar apenas um subconjunto do URI, que faz referência única à sua chave, por exemplo:

   $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" example.com
   Enter PIN for 'SSH key':
   [example.com] $

   Copy to Clipboard Toggle word wrap

4. Você pode usar a mesma cadeia URI no arquivo ~/.ssh/config para tornar a configuração permanente:

   $ cat ~/.ssh/config
   IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
   $ ssh example.com
   Enter PIN for 'SSH key':
   [example.com] $

   Copy to Clipboard Toggle word wrap

   Como o OpenSSH usa a embalagem p11-kit-proxy e o módulo OpenSC PKCS #11 está registrado no Kit PKCS #11, você pode simplificar os comandos anteriores:

   $ ssh -i "pkcs11:id=%01" example.com
   Enter PIN for 'SSH key':
   [example.com] $

   Copy to Clipboard Toggle word wrap

Procedimento

1. Defina o host de salto, editando o arquivo ~/.ssh/config, por exemplo:

   Host jump-server1
     HostName jump1.example.com

   Copy to Clipboard Toggle word wrap

2. Adicione a configuração de salto do servidor remoto com a diretiva ProxyJump para ~/.ssh/config, por exemplo:

   Host remote-server
     HostName remote1.example.com
     ProxyJump jump-server1

   Copy to Clipboard Toggle word wrap

3. Conecte-se ao servidor remoto através do servidor de salto:

   $ ssh remote-server

   Copy to Clipboard Toggle word wrap

   O comando anterior é equivalente ao comando ssh -J jump-server1 remote-server se você omitir os passos de configuração 1 e 2.

Procedimento

1. Opcional: Verifique se você pode usar a chave para autenticar no host remoto:

   1. Conecte-se ao host remoto usando SSH:

      $ ssh example.user1@198.51.100.1 hostname

      Copy to Clipboard Toggle word wrap

   2. Digite a frase-chave que você definiu ao criar a chave para conceder acesso à chave privada.

      $ ssh example.user1@198.51.100.1 hostname
       host.example.com

      Copy to Clipboard Toggle word wrap

2. Inicie o ssh-agent.

   $ eval $(ssh-agent)
   Agent pid 20062

   Copy to Clipboard Toggle word wrap

3. Adicione a chave a ssh-agent.

   $ ssh-add ~/.ssh/id_rsa
   Enter passphrase for ~/.ssh/id_rsa:
   Identity added: ~/.ssh/id_rsa (example.user0@198.51.100.12)

   Copy to Clipboard Toggle word wrap

Procedimento

1. Instale os pacotes libreswan:

   # yum install libreswan

   Copy to Clipboard Toggle word wrap

2. Se você estiver reinstalando Libreswan, remova seus arquivos antigos de banco de dados:

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db

   Copy to Clipboard Toggle word wrap

3. Iniciar o serviço ipsec, e permitir que o serviço seja iniciado automaticamente na inicialização:

   # systemctl enable ipsec --now

   Copy to Clipboard Toggle word wrap

4. Configure o firewall para permitir portas 500 e 4500/UDP para os protocolos IKE, ESP, e AH adicionando o serviço ipsec:

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

Procedimento

1. Gerar um par de chaves RSA em cada host:

   # ipsec newhostkey --output /etc/ipsec.d/hostkey.secrets

   Copy to Clipboard Toggle word wrap

2. A etapa anterior retornou a chave gerada ckaid. Use essa ckaid com o seguinte comando em left, por exemplo:

   # ipsec showhostkey --left --ckaid 2d3ea57b61c9419dfd6cf43a1eb6cb306c0e857d

   Copy to Clipboard Toggle word wrap

   A saída do comando anterior gerou a linha leftrsasigkey= necessária para a configuração. Faça o mesmo no segundo host (right):

   # ipsec showhostkey --right --ckaid a9e1f6ce9ecd3608c24e8f701318383f41798f03

   Copy to Clipboard Toggle word wrap

3. No diretório /etc/ipsec.d/, crie um novo arquivo my_host-to-host.conf. Escreva as chaves do host RSA a partir da saída dos comandos ipsec showhostkey no passo anterior para o novo arquivo. Por exemplo:

   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard Toggle word wrap

4. Após a importação das chaves, reinicie o serviço ipsec:

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

5. Iniciar Libreswan:

   # ipsec setup start

   Copy to Clipboard Toggle word wrap

6. Carregue a conexão:

   # ipsec auto --add mytunnel

   Copy to Clipboard Toggle word wrap

7. Estabelecer o túnel:

   # ipsec auto --up mytunnel

   Copy to Clipboard Toggle word wrap

8. Para iniciar automaticamente o túnel quando o serviço ipsec for iniciado, adicione a seguinte linha à definição da conexão:

   auto=arranque

   Copy to Clipboard Toggle word wrap

Procedimento

1. Copie o arquivo com a configuração de sua VPN de host a host para um novo arquivo, por exemplo:

   # cp /etc/ipsec.d/my_host-to-host.conf /etc/ipsec.d/my_site-to-site.conf

   Copy to Clipboard Toggle word wrap

2. Adicione a configuração da sub-rede ao arquivo criado na etapa anterior, por exemplo:

   conn mysubnet
        also=mytunnel
        leftsubnet=192.0.1.0/24
        rightsubnet=192.0.2.0/24
        auto=start
   
   conn mysubnet6
        also=mytunnel
        leftsubnet=2001:db8:0:1::/64
        rightsubnet=2001:db8:0:2::/64
        auto=start
   
   # the following part of the configuration file is the same for both host-to-host and site-to-site connections:
   
   conn mytunnel
       leftid=@west
       left=192.1.2.23
       leftrsasigkey=0sAQOrlo+hOafUZDlCQmXFrje/oZm [...] W2n417C/4urYHQkCvuIQ==
       rightid=@east
       right=192.1.2.45
       rightrsasigkey=0sAQO3fwC6nSSGgt64DWiYZzuHbc4 [...] D/v8t5YTQ==
       authby=rsasig

   Copy to Clipboard Toggle word wrap

Procedimento

1. Em cada nó, importar arquivos PKCS #12. Esta etapa requer a senha utilizada para gerar os arquivos PKCS #12:

   # ipsec import nodeXXX.p12

   Copy to Clipboard Toggle word wrap

2. Criar as três seguintes definições de conexão para os perfis IPsec required (privado), IPsec optional (privado ou claro), e No IPsec (claro):

   # cat /etc/ipsec.d/mesh.conf
   conn clear
   	auto=ondemand
   	type=passthrough
   	authby=never
   	left=%defaultroute
   	right=%group
   
   conn private
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=drop
   	negotiationshunt=drop
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert
           leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup
   
   conn private-or-clear
   	auto=ondemand
   	type=transport
   	authby=rsasig
   	failureshunt=passthrough
   	negotiationshunt=passthrough
   	# left
   	left=%defaultroute
   	leftcert=nodeXXXX
   	leftid=%fromcert
           leftrsasigkey=%cert
   	# right
   	rightrsasigkey=%cert
   	rightid=%fromcert
   	right=%opportunisticgroup

   Copy to Clipboard Toggle word wrap

3. Adicionar o endereço IP da rede na categoria apropriada. Por exemplo, se todos os nós residem na rede 10.15.0.0/16, e todos os nós devem ordenar a criptografia IPsec:

   # echo "10.15.0.0/16" >> /etc/ipsec.d/policies/private

   Copy to Clipboard Toggle word wrap

4. Para permitir que certos nós, por exemplo, 10.15.34.0/24, trabalhem com e sem IPsec, adicione esses nós ao grupo privado ou claro utilizando:

   # echo "10.15.34.0/24" >> /etc/ipsec.d/policies/private-or-clear

   Copy to Clipboard Toggle word wrap

5. Para definir um anfitrião, por exemplo, 10.15.1.2, que não seja capaz de IPsec no grupo claro, use:

   # echo "10.15.1.2/32" >> /etc/ipsec.d/policies/clear

   Copy to Clipboard Toggle word wrap

   Os arquivos no diretório /etc/ipsec.d/policies podem ser criados a partir de um modelo para cada novo nó, ou podem ser provisionados usando o Puppet ou o Ansible.

   Observe que cada nó tem a mesma lista de exceções ou diferentes expectativas de fluxo de tráfego. Dois nós, portanto, podem não ser capazes de se comunicar porque um requer IPsec e o outro não pode usar IPsec.

6. Reinicie o nó para adicioná-lo à malha configurada:

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

7. Uma vez terminada a adição de nós, um comando ping é suficiente para abrir um túnel IPsec. Para ver quais túneis um nó abriu:

   # ipsec trafficstatus

   Copy to Clipboard Toggle word wrap

Procedimento

1. Instale os pacotes libreswan:

   # yum install libreswan

   Copy to Clipboard Toggle word wrap

2. Se você estiver reinstalando Libreswan, remova seu antigo banco de dados NSS:

   # systemctl stop ipsec
   # rm /etc/ipsec.d/*db

   Copy to Clipboard Toggle word wrap

3. Iniciar o serviço ipsec, e permitir que o serviço seja iniciado automaticamente na inicialização:

   # systemctl enable ipsec --now

   Copy to Clipboard Toggle word wrap

4. Configure o firewall para permitir portas 500 e 4500/UDP para os protocolos IKE, ESP, e AH adicionando o serviço ipsec:

   # firewall-cmd --add-service="ipsec"
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

5. Mude o sistema para o modo FIPS no RHEL 8:

   # fips-mode-setup --enable

   Copy to Clipboard Toggle word wrap

6. Reinicie seu sistema para permitir que o kernel mude para o modo FIPS:

   # reboot

   Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Para confirmar que Libreswan está funcionando no modo FIPS:

   # ipsec whack --fipsstatus
   000 FIPS mode enabled

   Copy to Clipboard Toggle word wrap

2. Alternativamente, verifique as entradas para a unidade ipsec na revista systemd:

   $ journalctl -u ipsec
   ...
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Product: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Kernel: YES
   Jan 22 11:26:50 localhost.localdomain pluto[3076]: FIPS Mode: YES

   Copy to Clipboard Toggle word wrap

3. Para ver os algoritmos disponíveis no modo FIPS:

   # ipsec pluto --selftest 2>&1 | head -11
   FIPS Product: YES
   FIPS Kernel: YES
   FIPS Mode: YES
   NSS DB directory: sql:/etc/ipsec.d
   Initializing NSS
   Opening NSS database "sql:/etc/ipsec.d" read-only
   NSS initialized
   NSS crypto library initialized
   FIPS HMAC integrity support [enabled]
   FIPS mode enabled for pluto daemon
   NSS library is running in FIPS mode
   FIPS HMAC integrity verification self-test passed

   Copy to Clipboard Toggle word wrap

4. Para consultar algoritmos desabilitados no modo FIPS:

   # ipsec pluto --selftest 2>&1 | grep disabled
   Encryption algorithm CAMELLIA_CTR disabled; not FIPS compliant
   Encryption algorithm CAMELLIA_CBC disabled; not FIPS compliant
   Encryption algorithm SERPENT_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_CBC disabled; not FIPS compliant
   Encryption algorithm TWOFISH_SSH disabled; not FIPS compliant
   Encryption algorithm NULL disabled; not FIPS compliant
   Encryption algorithm CHACHA20_POLY1305 disabled; not FIPS compliant
   Hash algorithm MD5 disabled; not FIPS compliant
   PRF algorithm HMAC_MD5 disabled; not FIPS compliant
   PRF algorithm AES_XCBC disabled; not FIPS compliant
   Integrity algorithm HMAC_MD5_96 disabled; not FIPS compliant
   Integrity algorithm HMAC_SHA2_256_TRUNCBUG disabled; not FIPS compliant
   Integrity algorithm AES_XCBC_96 disabled; not FIPS compliant
   DH algorithm MODP1024 disabled; not FIPS compliant
   DH algorithm MODP1536 disabled; not FIPS compliant
   DH algorithm DH31 disabled; not FIPS compliant

   Copy to Clipboard Toggle word wrap

5. Para listar todos os algoritmos e cifras permitidas no modo FIPS:

   # ipsec pluto --selftest 2>&1 | grep ESP | grep FIPS | sed "s/^.*FIPS//"
   {256,192,*128}  aes_ccm, aes_ccm_c
   {256,192,*128}  aes_ccm_b
   {256,192,*128}  aes_ccm_a
   [*192]  3des
   {256,192,*128}  aes_gcm, aes_gcm_c
   {256,192,*128}  aes_gcm_b
   {256,192,*128}  aes_gcm_a
   {256,192,*128}  aesctr
   {256,192,*128}  aes
   {256,192,*128}  aes_gmac
   sha, sha1, sha1_96, hmac_sha1
   sha512, sha2_512, sha2_512_256, hmac_sha2_512
   sha384, sha2_384, sha2_384_192, hmac_sha2_384
   sha2, sha256, sha2_256, sha2_256_128, hmac_sha2_256
   aes_cmac
   null
   null, dh0
   dh14
   dh15
   dh16
   dh17
   dh18
   ecp_256, ecp256
   ecp_384, ecp384
   ecp_521, ecp521

   Copy to Clipboard Toggle word wrap

Procedimento

1. Ativar a proteção por senha para o banco de dados NSS para Libreswan:

   # certutil -N -d sql:/etc/ipsec.d
   Enter Password or Pin for "NSS Certificate DB":
   Enter a password which will be used to encrypt your keys.
   The password should be at least 8 characters long,
   and should contain at least one non-alphabetic character.
   
   Enter new password:

   Copy to Clipboard Toggle word wrap

2. Crie o arquivo /etc/ipsec.d/nsspassword contendo a senha que você definiu na etapa anterior, por exemplo:

   # cat /etc/ipsec.d/nsspassword
   NSS Certificate DB:MyStrongPasswordHere

   Copy to Clipboard Toggle word wrap

   Observe que o arquivo nsspassword utiliza a seguinte sintaxe:

   token_1_name:the_password
   token_2_name:the_password

   Copy to Clipboard Toggle word wrap

   O token padrão do software NSS é NSS Certificate DB. Se seu sistema estiver rodando no modo FIPS, o nome do token é NSS FIPS 140-2 Certificate DB.

3. Dependendo de seu cenário, inicie ou reinicie o serviço ipsec depois de terminar o arquivo nsspassword:

   # systemctl restart ipsec

   Copy to Clipboard Toggle word wrap

Etapas de verificação

1. Verifique se o serviço ipsec está funcionando após você ter adicionado uma senha não vazia ao seu banco de dados NSS:

   # systemctl status ipsec
   ● ipsec.service - Internet Key Exchange (IKE) Protocol Daemon for IPsec
      Loaded: loaded (/usr/lib/systemd/system/ipsec.service; enabled; vendor preset: disable>
      Active: active (running)...

   Copy to Clipboard Toggle word wrap

2. Opcionalmente, verifique se o registro Journal contém entradas que confirmam uma inicialização bem sucedida:

   # journalctl -u ipsec
   ...
   pluto[23001]: NSS DB directory: sql:/etc/ipsec.d
   pluto[23001]: Initializing NSS
   pluto[23001]: Opening NSS database "sql:/etc/ipsec.d" read-only
   pluto[23001]: NSS Password from file "/etc/ipsec.d/nsspassword" for token "NSS Certificate DB" with length 20 passed to NSS
   pluto[23001]: NSS crypto library initialized
   ...

   Copy to Clipboard Toggle word wrap

1. Recarregue a conexão vpn.example.com:

   # ipsec auto --add vpn.example.com
   002 added connection description "vpn.example.com"

   Copy to Clipboard Toggle word wrap

2. A seguir, iniciar a conexão VPN:

   # ipsec auto --up vpn.example.com

   Copy to Clipboard Toggle word wrap

Procedimento

1. Para adicionar uma nova conexão usando nmcli, entre:

   ~]# nmcli connection add type macsec \
     con-name test-macsec+ ifname macsec0 \
     connection.autoconnect no \
     macsec.parent enp1s0 macsec.mode psk \
     macsec.mka-cak $MKA_CAK \
     macsec.mka-ckn $MKA_CKN

   Copy to Clipboard Toggle word wrap

   Substitua macsec0 pelo nome do dispositivo que você deseja configurar.

2. Para ativar a conexão, entre:

   ~]# nmcli conexão up test-macsec

   Copy to Clipboard Toggle word wrap

Procedimento

1. Criar um par CAK/CKN. Por exemplo, o seguinte comando gera uma chave de 16 bytes em notação hexadecimal:

   ~]$ dd if=/dev/urandom count=16 bs=1 2> /dev/null | hexdump -e '1/2 "%02x"'

   Copy to Clipboard Toggle word wrap

2. Crie o arquivo de configuração wpa_supplicant.conf e acrescente as seguintes linhas a ele:

   ctrl_interface=/var/run/wpa_supplicant
   eapol_version=3
   ap_scan=0
   fast_reauth=1
   
   network={
       key_mgmt=NONE
       eapol_flags=0
       macsec_policy=1
   
       mka_cak=0011... # 16 bytes hexadecimal
       mka_ckn=2233... # 32 bytes hexadecimal
   }

   Copy to Clipboard Toggle word wrap

   Use os valores da etapa anterior para completar as linhas mka_cak e mka_ckn no arquivo de configuração wpa_supplicant.conf.

   Para mais informações, consulte a página de manual wpa_supplicant.conf(5).

3. Assumindo que você está usando wlp61s0 para se conectar à sua rede, comece wpa_supplicant usando o seguinte comando:

   ~]# wpa_supplicant -i wlp61s0 -Dmacsec_linux -c wpa_supplicant.conf

   Copy to Clipboard Toggle word wrap

Procedimento

1. Digite o seguinte comando como root:

   # yum instalar firewall-configurar

   Copy to Clipboard Toggle word wrap

   Alternativamente, em GNOME, use the Super key and type `Software para lançar o aplicativo Software Sources. Digite firewall na caixa de busca, que aparece após selecionar o botão de busca no canto superior direito. Selecione o item Firewall nos resultados da busca e clique no botão Instalar.

2. Para executar firewall-config, use o comando firewall-config ou pressione a tecla Super para entrar no Activities Overview, digite firewall, e pressione Enter.

Procedimento

1. Para iniciar firewalld, digite o seguinte comando como root:

   # systemctl unmask firewalld
   # systemctl start firewalld

   Copy to Clipboard Toggle word wrap

2. Para garantir que firewalld comece automaticamente no início do sistema, digite o seguinte comando como root:

   # systemctl habilita firewalld

   Copy to Clipboard Toggle word wrap

Procedimento

1. Para parar firewalld, digite o seguinte comando como root:

   # systemctl stop firewalld

   Copy to Clipboard Toggle word wrap

2. Para evitar que o firewalld comece automaticamente no início do sistema:

   # systemctl desativar firewalld

   Copy to Clipboard Toggle word wrap

3. Para garantir que o firewalld não seja iniciado, acesse a interface firewalld D-Bus e também se outros serviços exigirem firewalld:

   # Systemctl máscara firewalld

   Copy to Clipboard Toggle word wrap

1. Alterar as configurações de tempo de execução e depois torná-las permanentes como a seguir:

   # firewall-cmd <other options>
   # firewall-cmd --runtime-to-permanent

   Copy to Clipboard Toggle word wrap

2. Definir configurações permanentes e recarregar as configurações no modo tempo de execução:

   # firewall-cmd --permanent <other options>
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

Procedimento

1. Verificar a configuração permanente do serviço firewalld:

   # firewall-cmd --check-config
   success

   Copy to Clipboard Toggle word wrap

   Se a configuração permanente for válida, o comando retorna success. Em outros casos, o comando retorna um erro com mais detalhes, tais como os seguintes:

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

   Copy to Clipboard Toggle word wrap