4.3. 使用策略对象过滤本地托管的容器和物理连接到主机的网络之间的流量

流程

1. 创建一个新的防火墙策略：

   # firewall-cmd --permanent --new-policy podmanToAny

   Copy to Clipboard Toggle word wrap

2. 阻止从 Podman 到其它区域的所有流量，并只允许 Podman 上必要的服务：

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

   Copy to Clipboard Toggle word wrap

3. 创建一个新的 Podman 区域：

   # firewall-cmd --permanent --new-zone=podman

   Copy to Clipboard Toggle word wrap

4. 为策略定义 ingress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

   Copy to Clipboard Toggle word wrap

5. 为所有其他区域定义 egress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   Copy to Clipboard Toggle word wrap

   将 egress 区域设置为 ANY 意味着您可以从 Podman 过滤到其他区域。如果要过滤到主机，请将 egress 区域设置为 HOST。

6. 重启 firewalld 服务：

   # systemctl restart firewalld

   Copy to Clipboard Toggle word wrap