安全网络

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: SSH server configuration
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure sshd to prevent root and password login except from particular subnet
         ansible.builtin.include_role:
           name: rhel-system-roles.sshd
         vars:
           sshd:
             PermitRootLogin: no
             PasswordAuthentication: no
             Match:
               - Condition: "Address 192.0.2.0/24"
                 PermitRootLogin: yes
                 PasswordAuthentication: yes

   示例 playbook 中指定的设置包括以下内容：

   PasswordAuthentication: yes|no

   控制 OpenSSH 服务器(sshd)是否接受来自使用用户名和密码组合的客户端的身份验证。

   match:

   match 块只允许使用来自子网 192.0.2.0/24 的密码的 root 用户登录。

   有关 playbook 中使用的角色变量和 OpenSSH 配置选项的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.sshd/README.md 文件和 sshd_config (5) 手册页。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 登录到 SSH 服务器：

   $ ssh <username>@<ssh_server>

2. 验证 SSH 服务器中的 sshd_config 文件的内容：

   $ cat /etc/ssh/sshd_config
   ...
   PasswordAuthentication no
   PermitRootLogin no
   ...
   Match Address 192.0.2.0/24
     PasswordAuthentication yes
     PermitRootLogin yes
   ...

3. 检查您是否可以以 root 用户身份从 192.0.2.0/24 子网连接到服务器：

   1. 确定您的 IP 地址：

      $ hostname -I
      192.0.2.1

      如果 IP 地址在 192.0.2.1 - 192.0.2.254 范围内，您可以连接到服务器。

   2. 以 root 用户身份连接到服务器：

      $ ssh root@<ssh_server>

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: SSH client configuration
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure ssh clients
         ansible.builtin.include_role:
           name: rhel-system-roles.ssh
         vars:
           ssh_user: root
           ssh:
             Compression: true
             GSSAPIAuthentication: no
             ControlMaster: auto
             ControlPath: ~/.ssh/.cm%C
             Host:
               - Condition: example
                 Hostname: server.example.com
                 User: user1
           ssh_ForwardX11: no

   示例 playbook 中指定的设置包括以下内容：

   ssh_user: root

   使用特定配置在受管节点上配置 root 用户的 SSH 客户端首选项。

   compression: true

   压缩已启用。

   ControlMaster: auto

   ControlMaster 多路复用设置为 auto。

   Host

   创建别名 示例，以名为 user1 的用户连接到 server.example.com 主机。

   ssh_ForwardX11: no

   X11 转发被禁用。

   有关 playbook 中使用的角色变量和 OpenSSH 配置选项的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.ssh/README.md 文件和 ssh_config (5) 手册页。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   • 对于运行 RHEL 8 或更早版本的受管节点：

     ---
     - name: Non-exclusive sshd configuration
       hosts: managed-node-01.example.com
       tasks:
         - name: Configure SSHD to accept environment variables
           ansible.builtin.include_role:
             name: rhel-system-roles.sshd
           vars:
             sshd_config_namespace: <my-application>
             sshd:
               # Environment variables to accept
               AcceptEnv:
                 LANG
                 LS_COLORS
                 EDITOR

   • 对于运行 RHEL 9 或更高版本的受管节点：

     - name: Non-exclusive sshd configuration
       hosts: managed-node-01.example.com
       tasks:
         - name: Configure sshd to accept environment variables
           ansible.builtin.include_role:
             name: rhel-system-roles.sshd
           vars:
             sshd_config_file: /etc/ssh/sshd_config.d/<42-my-application>.conf
             sshd:
               # Environment variables to accept
               AcceptEnv:
                 LANG
                 LS_COLORS
                 EDITOR

     示例 playbook 中指定的设置包括：

     sshd_config_namespace: <my-application>

     该角色会将您在 playbook 中指定的配置放置在给定命名空间下的现有配置文件中配置片断。从不同上下文运行角色时，您需要选择不同的命名空间。

     sshd_config_file: /etc/ssh/sshd_config.d/<42-my-application>.conf

     在 sshd_config_file 变量中，定义 sshd 系统角色在其中写入配置选项的 .conf 文件。使用两位前缀，例如 42- 来指定应用配置文件的顺序。

     AcceptEnv:

     控制 OpenSSH 服务器(sshd)将来自客户端接受哪些环境变量：

     • LANG ：定义语言和区域设置。
     • LS_COLORS ：在终端中定义 ls 命令的颜色方案。
     • EDITOR: 指定需要打开编辑器的命令行程序的默认文本编辑器。

     有关 playbook 中使用的角色变量和 OpenSSH 配置选项的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.sshd/README.md 文件和 sshd_config (5) 手册页。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

步骤

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   - name: Host to host VPN
     hosts: managed-node-01.example.com, managed-node-02.example.com
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - hosts:
             managed-node-01.example.com:
             managed-node-02.example.com:
       vpn_manage_firewall: true
       vpn_manage_selinux: true

   此 playbook 通过使用系统角色自动生成的密钥，配置 managed-node-01.example.com-to-managed-node-02.example.com。因为 vpn_manage_firewall 和 vpn_manage_selinux 都被设为 true，因此 vpn 角色使用 firewall 和 selinux 角色来管理 vpn 角色使用的端口。

   要配置从受管主机到清单文件中未列出的外部主机的连接，请将以下部分添加到主机的 vpn_connections 列表中：

       vpn_connections:
         - hosts:
             managed-node-01.example.com:
             <external_node>:
               hostname: <IP_address_or_hostname>

   这将配置一个额外的连接： managed-node-01.example.com-to-<external_node>

   注意

   连接仅在受管节点上配置，而不在外部节点上配置。

2. 可选：您可以使用 vpn_connections 中的其它部分为受管节点指定多个 VPN 连接，如 control plane 和 data plane ：

   - name: Multiple VPN
     hosts: managed-node-01.example.com, managed-node-02.example.com
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - name: control_plane_vpn
           hosts:
             managed-node-01.example.com:
               hostname: 192.0.2.0 # IP for the control plane
             managed-node-02.example.com:
               hostname: 192.0.2.1
         - name: data_plane_vpn
           hosts:
             managed-node-01.example.com:
               hostname: 10.0.0.1 # IP for the data plane
             managed-node-02.example.com:
               hostname: 10.0.0.2

3. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

4. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 在受管节点上，确认连接已成功载入：

   # ipsec status | grep <connection_name>

   将 <connection_name > 替换为来自此节点的连接的名称，如 managed_node1-to-managed_node2。

   注意

   默认情况下，从每个系统的角度来看，角色为其创建的每个连接生成一个描述性名称。例如，当在 managed_node1 和 managed_node2 之间创建连接时，此连接在 managed_node1 上的描述性名称为 managed_node1-to-managed_node2，但在 managed_node2 上，连接的描述性名称为 managed_node2-to-managed_node1。

2. 在受管节点上，确认连接是否成功启动：

   # ipsec trafficstatus | grep <connection_name>

3. 可选：如果连接没有成功加载，请输入以下命令来手动添加连接。这提供了更具体的信息，说明连接未能建立的原因：

   # ipsec auto --add <connection_name>

   注意

   加载和启动连接过程中可能会出现的任何错误都会在 /var/log/pluto.log 文件中报告。由于这些日志很难解析，因此请手动添加连接以从标准输出中获取日志消息。

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   - name: Mesh VPN
     hosts: managed-node-01.example.com, managed-node-02.example.com, managed-node-03.example.com
     roles:
       - rhel-system-roles.vpn
     vars:
       vpn_connections:
         - opportunistic: true
           auth_method: cert
           policies:
             - policy: private
               cidr: default
             - policy: private-or-clear
               cidr: 198.51.100.0/24
             - policy: private
               cidr: 192.0.2.0/24
             - policy: clear
               cidr: 192.0.2.7/32
       vpn_manage_firewall: true
       vpn_manage_selinux: true

   通过在 playbook 中定义 auth_method: cert 参数来配置用证书进行身份验证。默认情况下，节点名称用作证书的昵称。在本例中，这是 managed-node-01.example.com。您可以使用清单中的 cert_name 属性来定义不同的证书名称。

   在本例中，控制节点是您运行 Ansible playbook 的系统，与两个受管节点(192.0.2.0/24)共享相同的无类别域间路由(CIDR)数，并且 IP 地址 192.0.2.7。因此，控制节点属于为 CIDR 192.0.2.0/24 自动创建的私有策略。

   为防止在操作期间出现 SSH 连接丢失，控制节点的清晰策略包含在策略列表中。请注意，在策略列表中还有一个项 CIDR 等于 default。这是因为此 playbook 覆盖了默认策略中的规则，以使其为私有，而非私有或清晰。

   因为 vpn_manage_firewall 和 vpn_manage_selinux 都被设为 true，因此 vpn 角色使用 firewall 和 selinux 角色来管理 vpn 角色使用的端口。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 列出可用的防火墙区：

   # firewall-cmd --get-zones

   firewall-cmd --get-zones 命令显示系统上所有可用的区，但不显示特定区的详情。要查看所有区的详情，请使用 firewall-cmd --list-all-zones 命令。

2. 选择您要用于此配置的区域。

3. 修改所选区域的防火墙设置。例如，允许 SSH 服务并删除 ftp 服务：

   # firewall-cmd --add-service=ssh --zone=<your_chosen_zone>
   # firewall-cmd --remove-service=ftp --zone=<same_chosen_zone>

4. 为防火墙区分配网络接口：

   1. 列出可用的网络接口：

      # firewall-cmd --get-active-zones

      区域的活动是通过存在与其配置匹配的网络接口或源地址范围来确定的。默认区域对于未分类的流量活跃，但如果没有流量匹配其规则，则始终处于活动状态。

   2. 为所选区分配一个网络接口：

      # firewall-cmd --zone=<your_chosen_zone> --change-interface=<interface_name> --permanent

      为区分配网络接口更适合将一致的防火墙设置应用到特定接口（物理或虚拟）上的所有流量。

      firewall-cmd 命令与 --permanent 选项一起使用时，通常涉及更新 NetworkManager 连接配置集以永久更改防火墙配置。firewalld 和 NetworkManager 之间的这种集成可确保一致的网络和防火墙设置。

验证

1. 显示您选择的区的更新设置：

   # firewall-cmd --zone=<your_chosen_zone> --list-all

   命令输出显示所有区设置，包括分配的服务、网络接口和网络连接（源）。

1. 显示当前的默认区：

   # firewall-cmd --get-default-zone

2. 设置新的默认区：

   # firewall-cmd --set-default-zone <zone_name>

   注意

   按照此流程，设置是一个永久设置，即使没有 --permanent 选项。

1. 列出活跃区以及分配给它们的接口：

   # firewall-cmd --get-active-zones

2. 为不同的区分配接口：

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

流程

1. 将区分配给 NetworkManager 连接配置文件：

   # nmcli connection modify profile connection.zone zone_name

2. 激活连接：

   # nmcli connection up profile

流程

1. 确定连接配置文件的路径及其格式：

   # nmcli -f NAME,FILENAME connection
   NAME    FILENAME
   enp1s0  /etc/NetworkManager/system-connections/enp1s0.nmconnection
   enp7s0  /etc/sysconfig/network-scripts/ifcfg-enp7s0

   NetworkManager 为不同的连接配置文件格式使用单独的目录和文件名称：

   • /etc/NetworkManager/system-connections/<connection_name>.nmconnection 文件中的配置文件使用 keyfile 格式。
   • /etc/sysconfig/network-scripts/ifcfg-<interface_name> 文件中的配置文件使用 ifcfg 格式。

2. 根据格式，更新相应的文件：

   • 如果文件使用 keyfile 格式，请将 zone=<name> 附加到 /etc/NetworkManager/system-connections/<connection_name>.nmconnection 文件的 [connection] 部分：

     [connection]
     ...
     zone=internal

   • 如果文件使用 ifcfg 格式，请将 ZONE=<name> 附加到 /etc/sysconfig/network-scripts/ifcfg-<interface_name> 文件中：

     ZONE=internal

3. 重新加载连接配置文件：

   # nmcli connection reload

4. 重新激活连接配置文件

   # nmcli connection up <profile_name>

流程

1. 创建一个新区：

   # firewall-cmd --permanent --new-zone=zone-name

2. 使新区可用：

   # firewall-cmd --reload

   该命令会在不中断已在运行的网络服务的情况下对防火墙配置应用最新的更改。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 在 Firewall 部分，点 Add new zone。

5. 在 Add zone 对话框中，从信任级别选项选择一个区。

   Web 控制台显示 firewalld 服务中预定义的所有区域。

6. 在接口部分，选择一个应用所选区的接口或接口。

7. 在 Allowed Addresses 部分中，您可以选择是否应用该区：

   • 整个子网

   • 或者以以下格式表示的 IP 地址范围：

     • 192.168.1.0
     • 192.168.1.0/24
     • 192.168.1.0/24, 192.168.1.0

8. 点 Add zone 按钮。

   

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 点您要删除的区的 Options 图标。

   

5. 点击 Delete。

1. 列出特定区的信息以查看默认目标：

   # firewall-cmd --zone=zone-name --list-all

2. 在区中设置一个新目标：

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

流程

1. 检查 firewalld 中的服务是否没有被允许：

   # firewall-cmd --list-services
   ssh dhcpv6-client

   命令列出默认区域中启用的服务。

2. 列出 firewalld 中的所有预定义服务：

   # firewall-cmd --get-services
   RH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...

   命令显示默认区域的可用服务列表。

3. 将服务添加到 firewalld 允许的服务列表中：

   # firewall-cmd --add-service=<service_name>

   命令将指定的服务添加到默认区域中。

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   命令将这些运行时更改应用到防火墙的永久配置。默认情况下，它会将这些更改应用到默认区的配置。

验证

1. 列出所有永久防火墙规则：

   # firewall-cmd --list-all --permanent
   public
     target: default
     icmp-block-inversion: no
     interfaces:
     sources:
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     forward: no
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:

   使用默认防火墙区域 的永久防火墙规则(公共)显示完整的配置。

2. 检查 firewalld 服务的永久配置的有效性。

   # firewall-cmd --check-config
   success

   如果永久配置无效，命令会返回带有更多详情的错误：

   # firewall-cmd --check-config
   Error: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

   您还可以手动检查永久配置文件以验证设置。主配置文件为 /etc/firewalld/firewalld.conf。特定于区的配置文件位于 /etc/firewalld/zones/ 目录中，策略位于 /etc/firewalld/policies/ 目录中。

流程

1. 启用或禁用预定义或自定义服务：

   1. 启动 firewall-config 工具，并选择要配置其服务的网络区。
   2. 选择 Zones 选项卡，然后选择下面的 Services 选项卡。
   3. 选中您要信任的每种服务类型的复选框，或者清除复选框以阻止所选区域中的服务。

2. 编辑服务：

   1. 启动 firewall-config 工具。
   2. 从标有 Configuration 的菜单中选择 Permanent。其它图标和菜单按钮会出现在服务窗口底部。
   3. 选择您要配置的服务。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 在 Firewall 部分，选择要添加该服务的区，然后点击 Add Services。

   

5. 在 Add Services 对话框中，找到您要在防火墙中启用的服务。

6. 根据您的场景启用服务：

   

7. 点 Add Services。

流程

1. 登录到 RHEL 8 web 控制台。

   详情请参阅 登录到 web 控制台。

2. 点 Networking。

3. 点编辑规则和区域按钮。

   

   如果没有看到 Edit rules and zones 按钮，使用管理员权限登录到 web 控制台。

4. 在 Firewall 部分，选择要配置自定义端口的区域，并点 Add Services。

   

5. 在 Add services 对话框中，点 Custom Ports 单选按钮。

6. 在 TCP 和 UDP 字段中，根据示例添加端口。您可以使用以下格式添加端口：

   • 端口号，如 22
   • 端口号范围，如 5900-5910
   • 别名，比如 nfs, rsync
   注意

   您可以在每个字段中添加多个值。值必须用逗号分开，且没有空格，例如： 8080、8081、http

7. 在 TCP 文件、UDP 文件或两者中添加端口号后，在 Name 字段中验证服务名称。

   Name 字段显示保留此端口的服务名称。如果您确定这个端口可用，且不需要在该端口上通信，则可以重写名称。

8. 在 Name 字段中，为服务添加一个名称，包括定义的端口。

9. 点 添加端口 按钮。

   

流程

1. 检查当前活跃的防火墙区：

   # firewall-cmd --get-active-zones

2. 在适当的区中添加 HTTPS 服务：

   # firewall-cmd --zone=<zone_name> --add-service=https --permanent

3. 重新载入防火墙配置：

   # firewall-cmd --reload

验证

1. 检查 firewalld 中是否打开端口：

   • 如果您通过指定端口号来打开端口，请输入：

     # firewall-cmd --zone=<zone_name> --list-all

   • 如果您通过指定服务定义来打开端口，请输入：

     # firewall-cmd --zone=<zone_name> --list-services

流程

1. 列出所有允许的端口：

   # firewall-cmd --list-ports

   默认情况下，此命令列出了默认区域中启用的端口。

   注意

   此命令只为您提供作为端口打开的端口列表。您将无法看到作为服务打开的任何开放端口。在这种情况下，请考虑使用 --list-all 选项而不是 --list-ports。

2. 从允许的端口列表中删除端口，为传入的流量关闭它：

   # firewall-cmd --remove-port=port-number/port-type

   这个命令从区中删除端口。如果没有指定区域，它将从 default 区域中删除端口。

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

   如果没有指定区域，这个命令会对默认区域的永久配置应用运行时更改。

验证

1. 列出活跃区并选择要检查的区：

   # firewall-cmd --get-active-zones

2. 列出所选区中当前打开的端口，以检查未使用的或不必要的端口是否已关闭：

   # firewall-cmd --zone=<zone_to_inspect> --list-ports

流程

1. 要立即禁用网络流量，请切换 panic 模式：

   # firewall-cmd --panic-on

2. 关闭 panic 模式会使防火墙恢复到其永久设置。要关闭 panic 模式，请输入：

   # firewall-cmd --panic-off

流程

1. 启动 firewall-config 工具，并选择要更改其设置的网络区。
2. 选择 Protocols 选项卡，然后点击右侧的 Add 按钮。此时会打开 协议 窗口。
3. 从列表中选择协议，或者选择 Other Protocol 复选框，并在字段中输入协议。

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones

2. 将源 IP 添加到持久性模式的信任区中：

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 列出所需区的允许源：

   # firewall-cmd --zone=zone-name --list-sources

2. 从区永久删除源：

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 列出所有可用区：

   # firewall-cmd --get-zones
   block dmz drop external home internal public trusted work

2. 将 IP 范围添加到 internal 区，来将来自源的流量通过区：

   # firewall-cmd --zone=internal --add-source=192.0.2.0/24

3. 在 internal 区中添加 http 服务：

   # firewall-cmd --zone=internal --add-service=http

4. 使新设置具有持久性：

   # firewall-cmd --runtime-to-permanent

流程

1. 创建一个新的防火墙策略：

   # firewall-cmd --permanent --new-policy podmanToAny

2. 阻止从 Podman 到其它区域的所有流量，并只允许 Podman 上必要的服务：

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

3. 创建一个新的 Podman 区域：

   # firewall-cmd --permanent --new-zone=podman

4. 为策略定义 ingress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

5. 为所有其他区域定义 egress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   将 egress 区域设置为 ANY 意味着您可以从 Podman 过滤到其他区。如果要过滤到主机，则将 egress 区域设置为 HOST。

6. 重启 firewalld 服务：

   # systemctl restart firewalld

流程

1. 创建防火墙策略：

   # firewall-cmd --permanent --new-policy <example_policy>

   与区域不同，策略也允许数据包过滤输入、输出和转发流量。这很重要，因为将流量转发到本地的 web 服务器、容器或虚拟机上的端点需要此类功能。

2. 为入站和出站流量配置符号链接区域，以便路由器本身连接到其本地 IP 地址并转发此流量：

   # firewall-cmd --permanent --policy=<example_policy> --add-ingress-zone=HOST
   # firewall-cmd --permanent --policy=<example_policy> --add-egress-zone=ANY

   --add-ingress-zone=HOST 选项是指本地生成的数据包，并从本地主机中传输。--add-egress-zone=ANY 选项引用移动到任何区域的流量。

3. 添加将流量转发到 Web 服务器的富规则：

   # firewall-cmd --permanent --policy=<example_policy> --add-rich-rule='rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"'

   富规则将路由器 IP 地址(192.0.2.1)上端口 443 的 TCP 流量转发到 Web 服务器 IP 地址(192.51.100.20)的端口 443。

4. 重新载入防火墙配置文件：

   # firewall-cmd --reload
   success

5. 在内核中激活 127.0.0.0/8 的路由：

   • 对于持久性更改，请运行：

     # echo "net.ipv4.conf.all.route_localnet=1" > /etc/sysctl.d/90-enable-route-localnet.conf

     命令永久配置 route_localnet 内核参数，并确保设置在系统重启后保留。

   • 要在不重启系统的情况下立即应用设置，请运行：

     # sysctl -p /etc/sysctl.d/90-enable-route-localnet.conf

     sysctl 命令可用于应用实时更改，但配置在系统重启后不会保留。

验证

1. 连接到路由器的 IP 地址和您转发到 web 服务器的端口：

   # curl https://192.0.2.1:443

2. 可选：验证 net.ipv4.conf.all.route_localnet 内核参数是否活跃：

   # sysctl net.ipv4.conf.all.route_localnet
   net.ipv4.conf.all.route_localnet = 1

3. 验证 <example_policy> 是否活跃，并包含您需要的设置，特别是源 IP 地址和端口，要使用的协议以及目标 IP 地址和端口：

   # firewall-cmd --info-policy=<example_policy>
   example_policy (active)
     priority: -1
     target: CONTINUE
     ingress-zones: HOST
     egress-zones: ANY
     services:
     ports:
     protocols:
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:
   	rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"

流程

1. 要检查是否启用了 IP 伪装（例如，对于 external 区），以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --query-masquerade

   如果已启用，命令将会打印 yes，且退出状态为 0。否则，将打印 no ，退出状态为 1。如果省略了 zone，则将使用默认区。

2. 要启用 IP 伪装，请以 root 用户身份输入以下命令：

   # firewall-cmd --zone=external --add-masquerade

3. 要使此设置持久，请将 --permanent 选项传给命令。

4. 要禁用 IP 伪装，请以 root 身份输入以下命令：

   # firewall-cmd --zone=external --remove-masquerade

   要使此设置永久生效，请将 --permanent 选项传给命令。

流程

1. 使用以下内容创建 /etc/sysctl.d/90-enable-IP-forwarding.conf 文件：

   net.ipv4.ip_forward=1

   此设置在内核中启用 IP 转发。它使内部 RHEL 服务器充当路由器，并将数据包从网络转发到网络。

2. 从 /etc/sysctl.d/90-enable-IP-forwarding.conf 文件中载入设置：

   # sysctl -p /etc/sysctl.d/90-enable-IP-forwarding.conf

3. 转发传入的 HTTP 流量：

   # firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toaddr=198.51.100.10:toport=8080 --permanent

   以上命令使用以下设置定义 DNAT 规则：

   • --zone=public - 配置 DNAT 规则的防火墙区。您可以将它调整为您需要的任何区域。
   • --add-forward-port - 指示您要添加端口转发规则的选项。
   • port=80 - 外部目的地端口。
   • proto=tcp - 指示您转发 TCP 流量的协议。
   • toaddr=198.51.100.10 - 目标 IP 地址。
   • ToPort=8080 - 内部服务器的目的地端口。
   • --permanent - 使 DNAT 规则在重启后保持不变的选项。

4. 重新载入防火墙配置以应用更改：

   # firewall-cmd --reload

流程

1. 使用以下内容创建 /etc/sysctl.d/90-enable-IP-forwarding.conf 文件：

   net.ipv4.ip_forward=1

   此设置在内核中启用 IP 转发。

2. 从 /etc/sysctl.d/90-enable-IP-forwarding.conf 文件中载入设置：

   # sysctl -p /etc/sysctl.d/90-enable-IP-forwarding.conf

3. 创建 NAT 重定向规则：

   # firewall-cmd --zone=public --add-forward-port=port=<standard_port>:proto=tcp:toport=<non_standard_port> --permanent

   上一命令使用以下设置定义 NAT 重定向规则：

   • --zone=public - 用于配置规则的防火墙区。您可以将它调整为您需要的任何区域。
   • --add-forward-port=port= <non_standard_ port> - 指示您使用最初接收传入流量的源端口添加端口转发（重定向）规则。
   • proto=tcp - 指示您重定向 TCP 流量的协议。
   • ToPort=<standard_port > - 目的地端口，在源端口上收到传入流量后，应重定向到该传入流量。
   • --permanent - 使规则在重启后保持不变的选项。

4. 重新载入防火墙配置以应用更改：

   # firewall-cmd --reload

流程

1. 列出可用的 ICMP 类型和代码：

   # firewall-cmd --get-icmptypes
   address-unreachable bad-header beyond-scope communication-prohibited destination-unreachable echo-reply echo-request failed-policy fragmentation-needed host-precedence-violation host-prohibited host-redirect host-unknown host-unreachable
   ...

   从该预定义列表中选择允许或阻止的 ICMP 类型和代码。

2. 通过以下方法过滤特定的 ICMP 类型：

   • 允许 ICMP 类型：

     # firewall-cmd --zone=<target-zone> --remove-icmp-block=echo-request --permanent

     该命令删除对 echo requests ICMP 类型的任何现有的阻塞规则。

   • 阻塞 ICMP 类型：

     # firewall-cmd --zone=<target-zone> --add-icmp-block=redirect --permanent

     该命令确保防火墙阻止重定向消息 ICMP 类型。

3. 重新载入防火墙配置以应用更改：

   # firewall-cmd --reload

流程

1. 创建一个具有有意义的名称的 IP 集：

   # firewall-cmd --permanent --new-ipset=allowlist --type=hash:ip

   名为 allowlist 的新 IP 集包含您希望防火墙允许的 IP 地址。

2. 为 IP 集添加动态更新：

   # firewall-cmd --permanent --ipset=allowlist --add-entry=198.51.100.10

   此配置使用新添加的 IP 地址更新 allowlist IP 集，允许防火墙传递网络流量。

3. 创建引用之前创建的 IP 集的防火墙规则：

   # firewall-cmd --permanent --zone=public --add-source=ipset:allowlist

   如果没有此规则，IP 集不会影响网络流量。默认防火墙策略会预先显示。

4. 重新载入防火墙配置以应用更改：

   # firewall-cmd --reload

验证

1. 列出所有 IP 集：

   # firewall-cmd --get-ipsets
   allowlist

2. 列出活跃的规则：

   # firewall-cmd --list-all
   public (active)
     target: default
     icmp-block-inversion: no
     interfaces: enp0s1
     sources: ipset:allowlist
     services: cockpit dhcpv6-client ssh
     ports:
     protocols:
     ...

   命令行参数的 sources 部分可让您了解流量来源（主机名、接口、IP 集、子网等）被允许或拒绝访问特定防火墙区。在这种情况下，允许允许允许列表 IP 集中的 IP 地址通过 公共区 的防火墙传递流量。

3. 探索 IP 集的内容：

   # cat /etc/firewalld/ipsets/allowlist.xml
   <?xml version="1.0" encoding="utf-8"?>
   <ipset type="hash:ip">
     <entry>198.51.100.10</entry>
   </ipset>

流程

1. 查询是否启用了锁定：

   # firewall-cmd --query-lockdown

2. 通过以下方法管理锁定配置：

   • 启用锁定：

     # firewall-cmd --lockdown-on

   • 禁用锁定：

     # firewall-cmd --lockdown-off

流程

1. 在内核中启用数据包转发：

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf
   # sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

2. 确保要启用区内转发的接口只分配给 internal 区：

   # firewall-cmd --get-active-zones

3. 如果接口当前被分配给了不是 internal 的区，请重新分配它：

   # firewall-cmd --zone=internal --change-interface=interface_name --permanent

4. 将 enp1s0 和 wlp0s20 接口添加到 internal 区：

   # firewall-cmd --zone=internal --add-interface=enp1s0 --add-interface=wlp0s20

5. 启用区域内部转发：

   # firewall-cmd --zone=internal --add-forward

1. 登录到与您启用了区转发的主机的 enp1s0 接口位于同一网络的主机。

2. 使用 ncat 启动 echo 服务来测试连接：

   # ncat -e /usr/bin/cat -l 12345

3. 登录到与 wlp0s20 接口在同一网络的主机。

4. 连接到在与 enp1s0 在同一网络的主机上运行的 echo 服务器：

   # ncat <other_host> 12345

5. 输入内容并按 Enter。验证文本是否已发送回来。

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Reset firewalld example
     hosts: managed-node-01.example.com
     tasks:
       - name: Reset firewalld
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - previous: replaced

   示例 playbook 中指定的设置包括以下内容：

   previous: replaced

   删除所有现有的用户定义的设置，并将 firewalld 设置重置为默认值。如果将 previous:replaced 参数与其他设置相结合，则 firewall 角色会在应用新设置前删除所有现有设置。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.firewall/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Forward incoming traffic on port 8080 to 443
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - forward_port: 8080/tcp;443;
               state: enabled
               runtime: true
               permanent: true

   示例 playbook 中指定的设置包括以下内容：

   forward_port: 8080/tcp;443

   使用 TCP 协议进入本地端口 8080 的流量转发到端口 443。

   runtime: true

   在运行时配置中启用更改。默认值为 true。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.firewall/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure firewalld
     hosts: managed-node-01.example.com
     tasks:
       - name: Creating a DMZ with access to HTTPS port and masquerading for hosts in DMZ
         ansible.builtin.include_role:
           name: rhel-system-roles.firewall
         vars:
           firewall:
             - zone: dmz
               interface: enp1s0
               service: https
               state: enabled
               runtime: true
               permanent: true

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.firewall/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 使用 inet 地址系列创建一个名为 nftables_svc 的表，以便表可以处理 IPv4 和 IPv6 数据包：

   # nft add table inet nftables_svc

2. 将名为 INPUT 的基本链（用于处理传入的网络流量）添加到 inet nftables_svc 表中：

   # nft add chain inet nftables_svc INPUT { type filter hook input priority filter \; policy accept \; }

   为了避免 shell 将分号解释为命令的结尾，请使用 \ 字符转义分号。

3. 向 INPUT 链中添加规则。例如，允许端口 22 和 443 上的传入 TCP 流量，以及作为 INPUT 链的最后一个规则，拒绝其他带有互联网控制消息协议(ICMP)端口无法访问的消息的流量：

   # nft add rule inet nftables_svc INPUT tcp dport 22 accept
   # nft add rule inet nftables_svc INPUT tcp dport 443 accept
   # nft add rule inet nftables_svc INPUT reject with icmpx type port-unreachable

   如果您输入 nft add rule 命令，nft 会将规则按与运行命令相同的顺序添加规则。

4. 显示包括句柄的当前规则集：

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

5. 在带有句柄 3 的现有规则前面插入规则。例如，要插入一个允许端口 636 上 TCP 流量的规则，请输入：

   # nft insert rule inet nftables_svc INPUT position 3 tcp dport 636 accept

6. 使用句柄 3 在现有规则后面附加规则。例如，要插入一个允许端口 80 上 TCP 流量的规则，请输入：

   # nft add rule inet nftables_svc INPUT position 3 tcp dport 80 accept

7. 再次使用 handle 显示规则集。验证后续添加的规则是否已添加到指定位置：

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       tcp dport 80 accept # handle 6
       reject # handle 4
     }
   }

8. 删除带有句柄 6 的规则：

   # nft delete rule inet nftables_svc INPUT handle 6

   要删除规则，您必须指定句柄。

9. 显示规则集，并验证删除的规则不再存在：

   # nft -a list table inet nftables_svc
   table inet nftables_svc { # handle 13
     chain INPUT { # handle 1
       type filter hook input priority filter; policy accept;
       tcp dport 22 accept # handle 2
       tcp dport 636 accept # handle 5
       tcp dport 443 accept # handle 3
       reject # handle 4
     }
   }

10. 从 INPUT 链中删除所有剩余的规则：

    # nft flush chain inet nftables_svc INPUT

11. 显示规则集，并验证 INPUT 链是否为空：

    # nft list table inet nftables_svc
    table inet nftables_svc {
      chain INPUT {
        type filter hook input priority filter; policy accept
      }
    }

12. 删除 INPUT 链：

    # nft delete chain inet nftables_svc INPUT

    您还可以使用此命令删除仍然包含规则的链。

13. 显示规则集，并验证 INPUT 链已被删除：

    # nft list table inet nftables_svc
    table inet nftables_svc {
    }

14. 删除 nftables_svc 表：

    # nft delete table inet nftables_svc

    您还可以使用此命令删除仍然包含链的表。

    注意

    要删除整个规则集，请使用 nft flush ruleset 命令，而不是手动删除独立命令中的所有规则、链和表。

流程

1. 将 iptables 和 ip6tables 规则写入一个文件：

   # iptables-save >/root/iptables.dump
   # ip6tables-save >/root/ip6tables.dump

2. 将转储文件转换为 nftables 指令：

   # iptables-restore-translate -f /root/iptables.dump > /etc/nftables/ruleset-migrated-from-iptables.nft
   # ip6tables-restore-translate -f /root/ip6tables.dump > /etc/nftables/ruleset-migrated-from-ip6tables.nft

3. 检查，如果需要，手动更新生成的 nftables 规则。

4. 要启用 nftables 服务来加载生成的文件，请在 /etc/sysconfig/nftables.conf 文件中添加以下内容：

   include "/etc/nftables/ruleset-migrated-from-iptables.nft"
   include "/etc/nftables/ruleset-migrated-from-ip6tables.nft"

5. 停止并禁用 iptables 服务：

   # systemctl disable --now iptables

   如果您使用自定义脚本加载 iptables 规则，请确保脚本不再自动启动并重新引导以刷新所有表。

6. 启用并启动 nftables 服务：

   # systemctl enable --now nftables

流程

1. 编辑 /etc/sysconfig/nftables.conf 文件。

   • 如果您使用 nftables 软件包的安装修改了在 /etc/nftables/ 中创建的 *.nft 脚本，请取消对这些脚本的 include 语句的注释。

   • 如果您编写了新脚本，请添加 include 语句以包含这些脚本。例如，要在 nftables 服务启动时加载 /etc/nftables/example.nft 脚本，请添加：

     include "/etc/nftables/_example_.nft"

2. 可选：启动 nftables 服务来加载防火墙规则，而无需重启系统：

   # systemctl start nftables

3. 启用 nftables 服务。

   # systemctl enable nftables

流程

1. 创建一个表：

   # nft add table nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 prerouting 链中添加规则，nftables 框架也会要求此链与传入的数据包回复匹配。

   请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

3. 向 postrouting 链中添加一条规则，来匹配 ens3 接口上传出的数据包：

   # nft add rule nat postrouting oifname "ens3" masquerade

流程

1. 创建一个表：

   # nft add table nat

2. 向表中添加 prerouting 和 postrouting 链：

   # nft add chain nat postrouting { type nat hook postrouting priority 100 \; }

   重要

   即使您没有向 postrouting 链添加规则，nftables 框架也会要求此链与传出数据包回复相匹配。

   请注意，您必须将 -- 选项传递给 nft 命令，以防止 shell 将负优先级值解释为 nft 命令的选项。

3. 向 postrouting 链中添加一条规则，该规则将使用 192.0.2.1 替换通过ens3 的传出数据包的源 IP ：

   # nft add rule nat postrouting oifname "ens3" snat to 192.0.2.1