8月24日(月)3、4コマ目

 今日、やったこと

一人でやってみよう「firewall編」の解説

今日のホワイトボード

Linux上で稼働するfirewalldの操作・設定はfirewall-cmdコマンドを使います。

前回各自で確認してもらった”1人でやってみよう「firewalld編」”の解説を行いました。

その１　全ゾーンの確認および各ゾーンで許可されているサービス出力

図　ゾーンおよび許可サービス確認

その２　現在アクティブなゾーンの確認

図　アクティブなゾーン確認

その３　許可サービスをゾーンに(一時的に)追加、確認

まずは許可サービスの追加。

一時的に追加したいので、--permanentオプションはなし。

図　(一時的に)許可サービスを追加

図　許可サービスの確認

--permanentオプションのあり・なしでの設定ファイル、firewalldの動作が異なるため、まとめた。

その４　設定ファイル確認

2か所にある設定ファイル。それぞれの役割を把握すること。

図　2か所の設定ファイルの違い

その５　設定ファイル再読み込み

以下を実行する。

　firewall-cmd --reload

その６　許可サービスをゾーンに(恒久的に)追加、確認

恒久的に追加するには、設定ファイルを変更する必要あり。

よって、--permanentオプション付きでfirewall-cmdコマンドを実行する。

図　(恒久的に)許可サービスの追加

その７　設定ファイル確認

--permanentオプション付きで許可サービスを追加すると、設定ファイルが変更される。

ただし、/usr/lib/firewalld/zonesディレクトリ以下のファイルは変更されない。

/usr/lib/firewalld/zones以下のゾーン別設定ファイルから対象ゾーンの設定ファイルを/etc/firewalld/zones以下にコピーし、設定を行う。

その８　設定ファイル再読み込み

設定ファイルを再読み込みは以下を実行。

　firewall-cmd --reload

設定ファイルを再読み込み後、許可サービスの追加は反映される。

その９　ゾーン新規作成

以下の流れで行う。

図　ゾーン新規作成のながれ

その１０　設定ファイルの確認

ゾーン「AllowOnlyHttp」のために新たに作成される設定ファイルは

/etc/firewalld/zones/AllowOnlyHttp.xml

設定ファイルの再読み込みを行うまでは稼働中のファイアウォールはこのゾーンを認識していない。

その１１　新規ゾーンに許可サービスを追加

--permanent付きで実行すること。

設定ファイルの再読み込みを行うまでは稼働中のファイアウォールはこのゾーンおよび許可サービスを認識していない。

その１２　ゾーンをインタフェースに適用

インタフェースに適用するゾーンの管理はNetworkManagerの仕事。

よって、コネクションの変更になるためnmcliコマンドでもできる。

図　インタフェースにゾーンを適用

次回は

　ファイアウォールの確認テスト

と、授業終了後に

　ポイントアップチャレンジ(ユーザー・グループ・パーミッション、ネットワーク）

を行います。