8月3日(月)3、4コマ目
今日、やったこと
- 前回の「ネットワーク確認テスト」の解説
- ファイアウォール
今日のホワイトボード
ネットワーク確認テスト
前回やったネットワークの確認テストの解説を行った。
が、ポイントをまとめると以下のとおり。
ipコマンド、nmcliコマンドのちがい
| コマンド | 設定すると | 設定ファイル |
|---|---|---|
| ipコマンド | 即反映される | 変更できない |
| nmcliコマンド | コネクション切断、接続が必要 | 変更できる |
nmcliコマンドでコネクション詳細確認
出力内容のうち、ipv4.**とIP4.**の違いは以下のとおり。
| 項目 | 意味 |
|---|---|
| ipv4.** | 設定ファイルでの設定値 |
| IP4.** | 現在の設定値 |
問１ IPアドレス、サブネットマスクの確認
 |
| 図 ネットワーク確認テスト 解説 問１ |
問２ ルーティングテーブル確認
問３ ARPテーブル確認
問４ デバイス一覧出力
問５ コネクション一覧出力
 |
| 図 ネットワーク確認テスト 解説 問２ |
問６ IPアドレス等 一時的に変更
一時的に変更＝設定ファイルは変更しない
※設定ファイルを変更すると再起動しても同じ設定で起動する。恒久的な変更になる。
IPアドレス等の設定ファイルを変更せずに、設定変更するにはipコマンドを使う。
 |
| 図 ネットワーク確認テスト 解説 問２ ipコマンドとnmcliコマンド |
 |
| 図 ネットワーク確認テスト 解説 問２ 設定変更 |
ipコマンドで設定変更後、nmcliコマンドでコネクション詳細を確認すると、以下のようになる。
 |
| 図 ネットワーク確認テスト 解説 問２ コネクション詳細確認 |
なお、もし、恒久的に変更するならコネクションの変更になる。
nmcli connection mod コネクション名
ipv4.address 新IPアドレス
ipv4.gateway 新ゲートウェイ
問７ コネクション変更
デバイスに適用されるコネクションを変更するには、
①コネクション切断（停止）
②コネクション接続（起動）
を行う。
 |
| 図 ネットワーク確認テスト 解説 問７ |
問８ コネクション新規作成
nmcliコマンドで作成。
 |
| 図 ネットワーク確認テスト 解説 問８ コネクション新規作成 |
コネクションを作成すると、設定ファイルができる。
 |
| 図 ネットワーク確認テスト 解説 問８ 設定ファイルのパス |
問９ ゲートウェイを一時的に変更
問６と同じ。ipコマンドで行う。
 |
| 図 ネットワーク確認テスト 解説 問９ ゲートウェイ一時的に変更 |
問１０ コネクション変更
写真を撮り忘れました。
正解は
nmcli connection mod con-ens1
ipv4.address 172.16.100.200/24 ipv4.gateway 172.16.100.1
- コマンド実行で設定ファイルifcfg-con-ens2は変更される
- 変更を反映するにはコネクション切断・接続を行う
ファイアウォール
ポイントは「ゾーン」と「サービス」。
ゾーン
フィルタリングルールセット集。
サーバーの利用目的や接続されるネットワークに合ったゾーンがあらかじめ用意されている。自作することも可能。
 |
| 図 ゾーンとは？ |
ゾーン一覧を出力するには
firewall-cmd --list-all-zone
で確認可能。
 |
| 図 ゾーン一覧出力（firewall-cmd --list-all-zone) |
サービス
Webアクセスならパケットのフィルタリングルールは
TCPで宛先ポート番号が80（または送信元ポート番号が80）
となる。
が、あらかじめこのパターンをサービスとして定義して用意している。
 |
| 図 サービス＝アプリケーション |
 |
| 図 あらかじめ定義されているサービス |
確認してみる
以下を順に行う。
- Linuxマシンにネットワーク設定をおこなう
- ファイアウォールのゾーンを設定する
- ゾーンに許可するサービスを追加する
コネクション作成
ネットワーク設定を行うためにコネクションを作成する。
 |
| 図 コネクション新規作成 |
（恒久的に）適用されるゾーンは？
コネクションのなかに適用されるゾーン情報(項目名：connection.zone)あり。
よって、恒久的に適用されるゾーンの設定はnmcliコマンドで行う。
 |
| 図 (恒久的に)適用されるゾーンの確認 |
今、適用されているゾーンで許可されているサービスは？
firewall-cmdコマンドで確認。
firewall-cmd --zone=ゾーン名 --list-service
サービス以外のゾーンに関する情報は
firewall-cmd --zone=ゾーン名 --list-all
 |
| 図 今許可されているサービスは？サービス以外のゾーンの情報は？ |
ゾーンに許可するサービスを追加
firewall-cmd --zone=ゾーン名 --add-service=追加するサービス名
 |
| 図 ゾーンに許可するサービスを追加 |
ゾーンの許可サービス変更後、設定ファイルは？
ゾーンの設定ファイル
/usr/lib/firewalld/zones/ディレクトリ以下に
ゾーン名.xml という名前のファイルがある。
 |
| 図 ゾーン設定ファイル |
firewall-cmd --add-service実行時に--permanentオプションをつける・つけないの違い
〇--permanentオプションなし
- 稼働中のファイアウォールには変更が反映される。
- ゾーン設定ファイルは変更なし。
〇--permanentオプションあり
- 稼働中のファイアウォールには変更が反映されない。
- ゾーン設定ファイルは変更される。
- ただし、あらたに/etc/firewalld/zones/ディレクトリ以下にゾーン設定ファイルが作成される。
 |
| 図 --permanentあり・なしの違い |
ゾーン設定ファイルは以下の2か所にある。
〇/usr/lib/firewalld/zones/ディレクトリ以下
ひな型的なファイル。
〇/etc/firewalld/zones/ディレクトリ以下
変更時に/usr/lib/firewalld/zones/以下のファイルをコピーして作成。
同名ファイルが両方にある場合、優先されるのはこちら。
コメント