7.10. 在区域间过滤转发的流量

流程

1. 创建一个新的防火墙策略：

   # firewall-cmd --permanent --new-policy podmanToAny

2. 阻止从 Podman 到其它区域的所有流量，并只允许 Podman 上必要的服务：

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

3. 创建一个新的 Podman 区域：

   # firewall-cmd --permanent --new-zone=podman

4. 为策略定义 ingress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

5. 为所有其他区域定义 egress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   将 egress 区域设置为 ANY 意味着您可以从 Podman 过滤到其他区。如果要过滤到主机，则将 egress 区域设置为 HOST。

6. 重启 firewalld 服务：

   # systemctl restart firewalld

流程

1. 创建防火墙策略：

   # firewall-cmd --permanent --new-policy <example_policy>

   与区域不同，策略也允许数据包过滤输入、输出和转发流量。这很重要，因为将流量转发到本地的 web 服务器、容器或虚拟机上的端点需要此类功能。

2. 为入站和出站流量配置符号链接区域，以便路由器本身连接到其本地 IP 地址并转发此流量：

   # firewall-cmd --permanent --policy=<example_policy> --add-ingress-zone=HOST
   # firewall-cmd --permanent --policy=<example_policy> --add-egress-zone=ANY

   --add-ingress-zone=HOST 选项是指本地生成的数据包，并从本地主机中传输。--add-egress-zone=ANY 选项引用移动到任何区域的流量。

3. 添加将流量转发到 Web 服务器的富规则：

   # firewall-cmd --permanent --policy=<example_policy> --add-rich-rule='rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"'

   富规则将路由器 IP 地址(192.0.2.1)上端口 443 的 TCP 流量转发到 Web 服务器 IP 地址(192.51.100.20)的端口 443。

4. 重新载入防火墙配置文件：

   # firewall-cmd --reload
   success

5. 在内核中激活 127.0.0.0/8 的路由：

   • 对于持久性更改，请运行：

     # echo "net.ipv4.conf.all.route_localnet=1" > /etc/sysctl.d/90-enable-route-localnet.conf

     命令永久配置 route_localnet 内核参数，并确保设置在系统重启后保留。

   • 要在不重启系统的情况下立即应用设置，请运行：

     # sysctl -p /etc/sysctl.d/90-enable-route-localnet.conf

     sysctl 命令可用于应用实时更改，但配置在系统重启后不会保留。

验证

1. 连接到路由器的 IP 地址和您转发到 web 服务器的端口：

   # curl https://192.0.2.1:443

2. 可选：验证 net.ipv4.conf.all.route_localnet 内核参数是否活跃：

   # sysctl net.ipv4.conf.all.route_localnet
   net.ipv4.conf.all.route_localnet = 1

3. 验证 <example_policy> 是否活跃，并包含您需要的设置，特别是源 IP 地址和端口，要使用的协议以及目标 IP 地址和端口：

   # firewall-cmd --info-policy=<example_policy>
   example_policy (active)
     priority: -1
     target: CONTINUE
     ingress-zones: HOST
     egress-zones: ANY
     services:
     ports:
     protocols:
     masquerade: no
     forward-ports:
     source-ports:
     icmp-blocks:
     rich rules:
   	rule family="ipv4" destination address="192.0.2.1" forward-port port="443" protocol="tcp" to-port="443" to-addr="192.51.100.20"