【Linux】Firewalldの初期設定と起動前の注意事項

RHEL系(CentOS)
---
Linuxのfirewalldサービスを起動するとデフォルト設定だと通信が
遮断されてしまいます。
Firewalldサービスを起動する前に、最低限、押さえておきたい
初期設定を解説します。

以下の3つのことを確認してからFirewalldサービスを起動してください。
１．Firewalldサービス起動時のZONE(ゾーン)を決定
２．デフォルト設定
　　/etc/firewalld/firewalld.confファイル
　「DefaultZone=public」箇所でZONE(ゾーン)を選択
３．各NICで設定
　　FirewalldはNIC単位で設定します。
　　NIC毎に設定をしたい場合、デフォルト設定と違う設定にしたい場合に設定する
　　※設定なければデフォルト設定が適用
　　
　　/etc/sysconfig/network-scripts/ifcfg-XXファイル
　　「ZONE=trusted」を追加してZONE(ゾーン)を選択
　　※デフォルトは「public」でifcfg-XXを「trusted」にした場合

Firewalldサービス起動前の確認

9種類のZONE(ゾーン)について

Firewallサービスを起動するまえにどのソーンを設定するかを決めてから起動します。
サーバのNIC（ネットワークインターフェース）毎にゾーンを設定します。

■注意事項
icmp(ping)は、「drop」ゾーン「block」ゾーン以外はブロックされずに
許可されています。

target（ターゲット）について

定義にマッチしないパケットをどうするかターゲットで決められています。

■ポイント
　１．「REJECT」のデフォルトが「default」なので同じ意味のターゲットになります。
　２．ゾーン毎にターゲットが設定されています。（変更可）
　３．基本、ACCEPT以外は、許可する設定をゾーンで設定するします。
　　　定義がないものは、破棄か拒否されます。
　４．「DROP」は応答が全くない状態（反応なし）
　　　「REJECT」は応答があり、拒否通知がある

Firewalld初期設定

Zone(ゾーン)のデフォルト設定について

必ずどのZONE(ゾーン)を適用するか決めてから設定してください

何も考えずにFirewalldサービスを起動すると
デフォルトの設定は「public」ゾーンが選択されて、ターゲットは「REJECT」となり
状態が「拒否」からスタートします。

■注意事項
稼働中のサービスでFirewalldサービスを起動すると「public」ゾーンとなり
提供していたサービスが利用できなくなるので注意してください。
この場合は、「trusted」ゾーン設定をして、拒否するポリシーを設定するように
すると安全にFirewalldサービスを起動することができます。

設定箇所１：Firewalldサービス起動時のZONE(ゾーン)設定箇所

# vi /etc/firewalld/firewalld.conf

firewalld.confファイルの
DefaultZone=public
箇所でfirewalldサービス起動時のデフォルトのZONE(ゾーン)を決定します。

設定箇所２：NICインターフェースでZONE(ゾーン）を設定

Firewalldの設定はNIC単位で行います。
NICが複数あり各NIC毎に設定したい場合に利用します。
※設定しなければ、Firewalldサービス起動時のデフォルトのZONE(ゾーン）が
各NICに反映されます。

# vi /etc/sysconfig/network-scripts/ifcfg-XX

XX：適宜インターフェース毎で異なります。
例　「eth0」、「eth1」、「enp0s3」など

ifcfg-XXファイルに
ZONE=trusted
を追加することでNIC毎にZONE(ゾーン)を選択します。

■注意事項
設定後はネットワークインターフェース(NIC)の再起動をしないと適用されません。
※「systemctl restart network.service」が必要

例えば、
ifcfg-XXファイルにZONE(ゾーン)設定をしてNICの再起動をせずに
Firewalldサービスを起動してもifcfg-XXファイルに設定した
ZONE(ゾーン)設定は反映されません

補足：Firewalldサービス起動方法

インストールされていなければ
「yum install firewalld*」でインストールしてください

状態確認

自動起動

サービス起動