7.9. 在区域间过滤转发的流量

流程

1. 创建一个新的防火墙策略：

   # firewall-cmd --permanent --new-policy podmanToAny

   Copy to Clipboard Toggle word wrap

2. 阻止从 Podman 到其它区域的所有流量，并只允许 Podman 上必要的服务：

   # firewall-cmd --permanent --policy podmanToAny --set-target REJECT
   # firewall-cmd --permanent --policy podmanToAny --add-service dhcp
   # firewall-cmd --permanent --policy podmanToAny --add-service dns
   # firewall-cmd --permanent --policy podmanToAny --add-service https

   Copy to Clipboard Toggle word wrap

3. 创建一个新的 Podman 区域：

   # firewall-cmd --permanent --new-zone=podman

   Copy to Clipboard Toggle word wrap

4. 为策略定义 ingress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

   Copy to Clipboard Toggle word wrap

5. 为所有其他区域定义 egress 区域：

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

   Copy to Clipboard Toggle word wrap

   将 egress 区域设置为 ANY 意味着您可以从 Podman 过滤到其他区域。如果要过滤到主机，请将 egress 区域设置为 HOST。

6. 重启 firewalld 服务：

   # systemctl restart firewalld

   Copy to Clipboard Toggle word wrap