21.5. firewalld 사용 및 구성 (2024)

• firewalld: 간단한 방화벽 활용 사례에 firewalld 유틸리티를 사용합니다. 유틸리티는 사용하기 쉽고 이러한 시나리오의 일반적인 사용 사례를 다룹니다.
• nftables: nftables 유틸리티를 사용하여 전체 네트워크에 대해 과 같이 복잡하고 성능이 중요한 방화벽을 설정합니다.
• iptables: Red Hat Enterprise Linux의 iptables 유틸리티는 기존 백엔드 대신 nf_tables 커널 API 를 사용합니다. nf_tables API는 iptables 명령을 사용하는 스크립트가 Red Hat Enterprise Linux에서 계속 작동하도록 이전 버전과의 호환성을 제공합니다. 새 방화벽 스크립트의 경우 Red Hat은 nftables 를 사용하는 것이 좋습니다.

• NetworkManager
• firewall-config 도구
• firewall-cmd 명령줄 툴
• RHEL 웹 콘솔

블록

들어오는 네트워크 연결은 IPv4 및 IPv6-adm-prohibited에 대한 icmp-host-prohibited 메시지와 함께 거부됩니다. 시스템 내에서 시작된 네트워크 연결만 가능합니다.

dmz

내부 네트워크에 대한 제한된 액세스 권한으로 공개적으로 액세스할 수 있는 비유형 영역에 있는 컴퓨터. 선택한 연결만 허용됩니다.

drop

들어오는 네트워크 패킷은 알림 없이 삭제됩니다. 나가는 네트워크 연결만 가능합니다.

external

특히 라우터의 경우 마스커레이딩이 활성화된 외부 네트워크에서 사용합니다. 네트워크의 다른 컴퓨터는 컴퓨터가 손상되지 않도록 신뢰하지 않습니다. 선택한 연결만 허용됩니다.

홈

주로 네트워크의 다른 컴퓨터를 신뢰하는 가정에서 사용할 수 있습니다. 선택한 연결만 허용됩니다.

internal

네트워크의 다른 컴퓨터를 대부분 신뢰하는 경우 내부 네트워크에서 사용할 수 있습니다. 선택한 연결만 허용됩니다.

public

네트워크의 다른 컴퓨터를 신뢰하지 않는 공공 부문의 경우. 선택한 연결만 허용됩니다.

신뢰할 수 있는

모든 네트워크 연결이 허용됩니다.

작업

네트워크의 다른 컴퓨터를 대부분 신뢰하는 직장에서 사용할 수 있습니다. 선택한 연결만 허용됩니다.

추가 리소스

• firewalld.zone(5) 매뉴얼 페이지.

추가 리소스

• firewalld.service(5) 매뉴얼 페이지

절차

1. firewalld 를 시작하려면 root 로 다음 명령을 입력합니다.

   # systemctl unmask firewalld# systemctl start firewalld

2. 시스템을 시작할 때 firewalld 가 자동으로 시작되도록 하려면 root 로 다음 명령을 입력합니다.

   # systemctl enable firewalld

절차

1. firewalld 를 중지하려면 root 로 다음 명령을 입력합니다.

   # systemctl stop firewalld

2. 시스템을 시작할 때 firewalld 가 자동으로 시작되지 않도록 하려면 다음을 수행합니다.

   # systemctl disable firewalld

3. firewalld D-Bus 인터페이스에 액세스하고 다른 서비스에 firewalld 가 필요한 경우에도 firewalld 를 시작하지 않도록하려면 다음을 수행하십시오.

   # systemctl mask firewalld

사전 요구 사항

• firewalld 서비스가 실행 중입니다.

절차

1. firewalld 서비스의 영구 구성을 확인합니다.

   # firewall-cmd --check-configsuccess

   영구 구성이 유효한 경우 명령에서 성공을 반환합니다. 그렇지 않으면 명령에서 다음과 같은 추가 세부 정보가 있는 오류를 반환합니다.

   # firewall-cmd --check-configError: INVALID_PROTOCOL: 'public.xml': 'tcpx' not from {'tcp'|'udp'|'sctp'|'dccp'}

절차

1. 서비스 상태를 보려면 다음을 수행합니다.

   # firewall-cmd --state

2. 서비스 상태에 대한 자세한 내용은 systemctl status 하위 명령을 사용합니다.

   # systemctl status firewalldfirewalld.service - firewalld - dynamic firewall daemon Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor pr Active: active (running) since Mon 2017-12-18 16:05:15 CET; 50min ago Docs: man:firewalld(1) Main PID: 705 (firewalld) Tasks: 2 (limit: 4915) CGroup: /system.slice/firewalld.service └─705 /usr/bin/python3 -Es /usr/sbin/firewalld --nofork --nopid

사전 요구 사항

• firewall-config 패키지가 설치되어 있어야 합니다.

절차

• 명령줄을 사용하여 그래픽 방화벽 구성 도구를 시작하려면 다음을 수행합니다.

  $ firewall-config

절차

• 기본 영역에 대한 모든 관련 정보를 나열하려면 다음을 수행합니다.

  # firewall-cmd --list-allpublic target: default icmp-block-inversion: no interfaces: sources: services: ssh dhcpv6-client ports: protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules:

• 설정을 표시할 영역을 지정하려면 --zone=zone-name 인수를 firewall-cmd --list-all 명령에 추가합니다.

  # firewall-cmd --list-all --zone=homehome target: default icmp-block-inversion: no interfaces: sources: services: ssh mdns samba-client dhcpv6-client ...

• 서비스 또는 포트와 같은 특정 정보에 대한 설정을 보려면 특정 옵션을 사용합니다. 명령 도움말 페이지를 사용하여 firewalld 도움말 페이지를 참조하거나 옵션 목록을 가져옵니다.

  # firewall-cmd --help

• 현재 영역에서 허용되는 서비스를 보려면 다음을 수행합니다.

  # firewall-cmd --list-servicesssh dhcpv6-client

절차

1. 네트워킹 트래픽을 즉시 비활성화하려면 에서 패닉 모드를 전환합니다.

   # firewall-cmd --panic-on

   중요

   패닉 모드를 활성화하면 모든 네트워킹 트래픽이 중지됩니다. 따라서 시스템에 대한 물리적 액세스 권한이 있거나 직렬 콘솔을 사용하여 로그인하는 경우에만 사용해야 합니다.

2. 패닉 모드를 끄면 방화벽을 영구 설정으로 되돌립니다. 패닉 모드를 끄려면 다음을 입력합니다.

   # firewall-cmd --panic-off

검증

• 패닉 모드가 켜져 있는지 또는 꺼져 있는지 여부를 확인하려면 다음을 사용합니다.

  # firewall-cmd --query-panic

절차

1. 서비스가 아직 허용되지 않은지 확인합니다.

   # firewall-cmd --list-servicesssh dhcpv6-client

2. 사전 정의된 모든 서비스를 나열합니다.

   # firewall-cmd --get-servicesRH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry ...

3. 허용된 서비스에 서비스를 추가합니다.

   # firewall-cmd --add-service=<service_name>

4. 새 설정을 영구적으로 설정합니다.

   # firewall-cmd --runtime-to-permanent

사전 요구 사항

• firewall-config 패키지가 설치되어 있어야 합니다.

절차

1. 사전 정의된 또는 사용자 지정 서비스를 활성화하거나 비활성화하려면 다음을 수행합니다.

   1. firewall-config 도구를 시작하고 서비스를 구성할 네트워크 영역을 선택합니다.
   2. Zones 탭을 선택한 다음 아래의 서비스 탭을 선택합니다.
   3. 신뢰할 수 있는 서비스 유형마다 확인란을 선택하거나 선택한 영역에서 서비스를 차단하는 확인란을 선택합니다.

2. 서비스를 편집하려면 다음을 수행합니다.

   1. firewall-config 도구를 시작합니다.
   2. Configuration (구성)이라는 메뉴에서 Permanent 를 선택합니다. Services (서비스) 창의 아래쪽에 추가 아이콘 및 메뉴 버튼이 표시됩니다.
   3. 구성할 서비스를 선택합니다.

절차

터미널에 새 서비스를 추가하려면 firewall-cmd 또는 firewall-offline-cmd 를 사용하십시오.

1. 다음 명령을 입력하여 새롭고 빈 서비스를 추가합니다.

   $ firewall-cmd --new-service=<service_name> --permanent

2. 로컬 파일을 사용하여 새 서비스를 추가하려면 다음 명령을 사용합니다.

   $ firewall-cmd --new-service-from-file=<service_xml_file> --permanent

   추가 --name= <service_name> 옵션을 사용하여 서비스 이름을 변경할 수 있습니다.

3. 서비스 설정이 변경되는 즉시 서비스의 업데이트된 사본이 /etc/firewalld/services/ 에 배치됩니다.

   root 로 다음 명령을 입력하여 서비스를 수동으로 복사할 수 있습니다.

   # cp /usr/lib/firewalld/services/service-name.xml /etc/firewalld/services/service-name.xml

사전 요구 사항

• firewall-config 패키지가 설치되어 있어야 합니다.

절차

1. firewall-config 도구를 시작하고 설정을 변경할 네트워크 영역을 선택합니다.
2. Ports(포트 ) 탭을 선택하고 오른쪽에 있는 Add(추가 ) 버튼을 클릭합니다. Port and Protocol(포트 및 프로토콜 ) 창이 열립니다.
3. 허용할 포트의 포트 번호 또는 범위를 입력합니다.
4. 목록에서 tcp 또는 udp 를 선택합니다.

사전 요구 사항

• firewall-config 패키지가 설치되어 있어야 합니다.

절차

1. firewall-config 도구를 시작하고 설정을 변경할 네트워크 영역을 선택합니다.
2. Protocols(프로토콜 ) 탭을 선택하고 오른쪽에 있는 Add(추가 ) 버튼을 클릭합니다. Protocol(프로토콜 ) 창이 열립니다.
3. 목록에서 프로토콜을 선택하거나 Other Protocol(기타 프로토콜) 확인란을 선택하고 필드에 프로토콜을 입력합니다.

사전 요구 사항

• firewall-config 패키지가 설치되어 있어야 합니다.

절차

1. firewall-config 도구를 시작하고 변경할 설정의 네트워크 영역을 선택합니다.
2. Source Port(소스 포트 ) 탭을 선택하고 오른쪽에 있는 Add (추가) 단추를 클릭합니다. Source Port(소스 포트 ) 창이 열립니다.
3. 허용할 포트의 포트 번호 또는 범위를 입력합니다. 목록에서 tcp 또는 udp 를 선택합니다.

절차

현재 영역에서 열려 있는 포트 목록을 가져오려면 다음을 수행합니다.

1. 허용되는 모든 포트를 나열합니다.

   # firewall-cmd --list-ports

2. 포트를 허용된 포트에 추가하여 들어오는 트래픽에 대해 엽니다.

   # firewall-cmd --add-port=port-number/port-type

   포트 유형은 tcp,udp,sctp 또는 dccp 입니다. 유형은 네트워크 통신 유형과 일치해야 합니다.

3. 새 설정을 영구적으로 설정합니다.

   # firewall-cmd --runtime-to-permanent

   포트 유형은 tcp,udp,sctp 또는 dccp 입니다. 유형은 네트워크 통신 유형과 일치해야 합니다.

절차

포트를 종료하려면 허용된 포트 목록에서 제거합니다.

1. 허용되는 모든 포트를 나열합니다.

   # firewall-cmd --list-ports

   주의

   이 명령은 포트로 열린 포트 목록만 제공합니다. 서비스로 열린 열려 있는 포트는 볼 수 없습니다. 따라서 --list-ports 대신 --list-all 옵션을 사용해야 합니다.

2. 포트를 허용된 포트에서 제거하여 들어오는 트래픽에 대해 종료합니다.

   # firewall-cmd --remove-port=port-number/port-type

3. 새 설정을 영구적으로 설정합니다.

   # firewall-cmd --runtime-to-permanent

절차

1. 시스템에서 사용할 수 있는 영역을 보려면 다음을 수행합니다.

   # firewall-cmd --get-zones

   firewall-cmd --get-zones 명령은 시스템에서 사용할 수 있는 모든 영역을 표시하지만 특정 영역에 대한 세부 정보는 표시하지 않습니다.

2. 모든 영역에 대한 자세한 정보를 보려면 다음을 수행합니다.

   # firewall-cmd --list-all-zones

3. 특정 영역에 대한 자세한 정보를 보려면 다음을 수행합니다.

   # firewall-cmd --zone=zone-name --list-all

절차

• 다른 영역에서 작업하려면 --zone= <zone_name> 옵션을 사용합니다. 예를 들어 public 영역에서 SSH 서비스를 허용하려면 다음을 수행합니다.

  # firewall-cmd --add-service=ssh --zone=public

절차

기본 영역을 설정하려면 다음을 수행합니다.

1. 현재 기본 영역을 표시합니다.

   # firewall-cmd --get-default-zone

2. 새 기본 영역을 설정합니다.

   # firewall-cmd --set-default-zone <zone_name>

   참고

   이 절차에 따라 설정은 --permanent 옵션 없이 영구적인 설정입니다.

절차

특정 인터페이스에 영역을 할당하려면 다음을 수행합니다.

1. 활성 영역과 여기에 할당된 인터페이스를 나열합니다.

   # firewall-cmd --get-active-zones

2. 인터페이스를 다른 영역에 할당합니다.

   # firewall-cmd --zone=zone_name --change-interface=interface_name --permanent

절차

1. NetworkManager 연결 프로필에 영역을 할당합니다.

   # nmcli connection modify profile connection.zone zone_name

2. 연결을 활성화합니다.

   # nmcli connection up profile

절차

• 연결 영역을 설정하려면 /etc/sysconfig/network-scripts/ifcfg-connection_name 파일을 편집하고 이 연결에 영역을 할당하는 행을 추가합니다.

  ZONE=zone_name

절차

1. 새 영역을 생성합니다.

   # firewall-cmd --permanent --new-zone=zone-name

2. 새 영역이 영구 설정에 추가되었는지 확인합니다.

   # firewall-cmd --get-zones

3. 새 설정을 영구적으로 설정합니다.

   # firewall-cmd --runtime-to-permanent

추가 리소스

• firewalld.zone 매뉴얼 페이지

• ACCEPT: 특정 규칙에서 허용되지 않는 패킷을 제외한 모든 수신 패킷을 수락합니다.
• REJECT: 특정 규칙으로 허용되는 패킷을 제외한 모든 수신 패킷을 거부합니다. firewalld 가 패킷을 거부하면 소스 시스템에 거부에 대한 정보가 표시됩니다.
• DROP: 특정 규칙에서 허용하는 패킷을 제외한 모든 수신 패킷을 삭제합니다. firewalld 가 패킷을 삭제하면 소스 시스템에 패킷 삭제에 대한 정보가 표시되지 않습니다.
• 기본값: REJECT 와 유사한 동작이지만 특정 시나리오에서 특별한 의미가 있습니다. 자세한 내용은 firewall-cmd(1) 도움말 페이지의 Adapt 및 Query Zones 및 Policies 섹션을 참조하십시오.

절차

영역의 대상을 설정하려면 다음을 수행합니다.

1. 특정 영역에 대한 정보를 나열하여 기본 대상을 확인합니다.

   # firewall-cmd --zone=zone-name --list-all

2. 영역에 새 대상을 설정합니다.

   # firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>

추가 리소스

• firewall-cmd(1) 도움말 페이지

• 현재 영역에 소스를 설정하려면 다음을 수행합니다.

  # firewall-cmd --add-source=<source>

• 특정 영역의 소스 IP 주소를 설정하려면 다음을 수행합니다.

  # firewall-cmd --zone=zone-name --add-source=<source>

절차

1. 사용 가능한 모든 영역을 나열합니다.

   # firewall-cmd --get-zones

2. 영구 모드에서 소스 IP를 신뢰할 수 있는 영역에 추가합니다.

   # firewall-cmd --zone=trusted --add-source=192.168.2.15

3. 새 설정을 영구적으로 설정합니다.

   # firewall-cmd --runtime-to-permanent

절차

1. 필수 영역에 허용된 소스를 나열합니다.

   # firewall-cmd --zone=zone-name --list-sources

2. 영역에서 소스를 영구적으로 제거합니다.

   # firewall-cmd --zone=zone-name --remove-source=<source>

3. 새 설정을 영구적으로 설정합니다.

   # firewall-cmd --runtime-to-permanent

절차

• 소스 포트를 추가하려면 다음을 수행합니다.

  # firewall-cmd --zone=zone-name --add-source-port=<port-name>/<tcp|udp|sctp|dccp>

절차

• 소스 포트를 제거하려면 다음을 수행합니다.

  # firewall-cmd --zone=zone-name --remove-source-port=<port-name>/<tcp|udp|sctp|dccp>

절차

1. 사용 가능한 모든 영역을 나열합니다.

   # firewall-cmd --get-zonesblock dmz drop external home internal public trusted work

2. 내부 영역에 IP 범위를 추가하여 소스에서 영역을 통해 발생하는 트래픽을 라우팅합니다.

   # firewall-cmd --zone=internal --add-source=192.0.2.0/24

3. http 서비스를 내부 영역에 추가합니다.

   # firewall-cmd --zone=internal --add-service=http

4. 새 설정을 영구적으로 설정합니다.

   # firewall-cmd --runtime-to-permanent

검증

• 내부 영역이 활성화되어 있고 서비스가 허용되는지 확인합니다.

  # firewall-cmd --zone=internal --list-allinternal (active) target: default icmp-block-inversion: no interfaces: sources: 192.0.2.0/24 services: co*ckpit dhcpv6-client mdns samba-client ssh http ...

추가 리소스

• firewalld.zones(5) 도움말 페이지

• HOST 심볼릭 영역을 사용하면 에서 시작되는 트래픽에 대한 정책이 허용되거나 firewalld를 실행하는 호스트의 대상이 있습니다.
• ANY 심볼릭 영역은 현재 및 향후 모든 영역에 정책을 적용합니다. ANY 심볼릭 영역은 모든 영역의 와일드카드 역할을 합니다.

• 부정 우선 순위가 있는 정책은 영역의 규칙 앞에 적용됩니다.
• 긍정적인 우선 순위가 있는 정책은 영역의 규칙 뒤에 적용됩니다.
• 우선 순위 0은 예약되어 있으므로 사용할 수 없습니다.

절차

1. 새 정책 만들기.

   # firewall-cmd --permanent --new-policy podmanToHost

2. 모든 트래픽을 차단합니다.

   # firewall-cmd --permanent --policy podmanToHost --set-target REJECT# firewall-cmd --permanent --policy podmanToHost --add-service dhcp# firewall-cmd --permanent --policy podmanToHost --add-service dns

   참고

   기본적으로 호스트에 대한 모든 트래픽을 차단한 다음 호스트에 필요한 서비스를 선택적으로 여는 것이 좋습니다.

3. 정책과 함께 사용할 수신 영역을 정의합니다.

   # firewall-cmd --permanent --policy podmanToHost --add-ingress-zone podman

4. 정책과 함께 사용할 송신 영역을 정의합니다.

   # firewall-cmd --permanent --policy podmanToHost --add-egress-zone ANY

검증

• 정책에 대한 정보를 확인합니다.

  # firewall-cmd --info-policy podmanToHost

• ACCEPT - 패킷을 수락
• DROP - 원하지 않는 패킷을 삭제합니다.
• REJECT - ICMP 응답을 사용하여 원하지 않는 패킷을 거부

• CONTINUE (기본값) - 패킷에는 다음 정책 및 영역의 규칙이 적용됩니다.

  # firewall-cmd --permanent --policy mypolicy --set-target CONTINUE

검증

• 정책에 대한 정보 확인

  # firewall-cmd --info-policy mypolicy

마스커레이딩 및 소스 NAT (SNAT)

이러한 NAT 유형 중 하나를 사용하여 패킷의 소스 IP 주소를 변경합니다. 예를 들어 인터넷 서비스 공급자는 10.0.0.0/8 과 같은 개인 IP 범위를 라우팅하지 않습니다. 네트워크에서 개인 IP 범위를 사용하며 사용자가 인터넷의 서버에 연결할 수 있어야 하는 경우 해당 범위에서 패킷의 소스 IP 주소를 공용 IP 주소로 매핑합니다.

마스커레이딩과 SNAT는 서로 매우 비슷합니다. 차이점은 다음과 같습니다.

• 마스커레이딩은 나가는 인터페이스의 IP 주소를 자동으로 사용합니다. 따라서 나가는 인터페이스에서 동적 IP 주소를 사용하는 경우 마스커레이딩을 사용합니다.
• SNAT는 패킷의 소스 IP 주소를 지정된 IP로 설정하고 나가는 인터페이스의 IP를 동적으로 조회하지 않습니다. 따라서 SNAT는 마스커레이딩보다 빠릅니다. 나가는 인터페이스에서 고정 IP 주소를 사용하는 경우 SNAT를 사용합니다.

대상 NAT(DNAT)

이 NAT 유형을 사용하여 들어오는 패킷의 대상 주소와 포트를 다시 작성합니다. 예를 들어 웹 서버가 개인 IP 범위의 IP 주소를 사용하므로 인터넷에서 직접 액세스할 수 없는 경우 라우터에 DNAT 규칙을 설정하여 들어오는 트래픽을 이 서버로 리디렉션할 수 있습니다.

리디렉션

이 유형은 체인 후크에 따라 패킷을 로컬 시스템으로 리디렉션하는 DNAT의 특별한 사례입니다. 예를 들어 서비스가 표준 포트와 다른 포트에서 실행되는 경우 표준 포트에서 들어오는 트래픽을 이 특정 포트로 리디렉션할 수 있습니다.

절차

1. IP 마스커레이드가 활성화되어 있는지 확인하려면 (예: 외부 영역의 경우) 다음 명령을 root 로 입력합니다.

   # firewall-cmd --zone=external --query-masquerade

   이 명령은 활성화된 경우 종료 상태 0 으로 yes 를 출력합니다. 그렇지 않으면 종료 상태 1 로 no 를 출력합니다. 영역을 생략하면 기본 영역이 사용됩니다.

2. IP 마스커레이딩을 사용하려면 root 로 다음 명령을 입력합니다.

   # firewall-cmd --zone=external --add-masquerade

3. 이 설정을 영구적으로 설정하려면 명령에 --permanent 옵션을 전달합니다.

4. IP 마스커레이딩을 비활성화하려면 root 로 다음 명령을 입력합니다.

   # firewall-cmd --zone=external --remove-masquerade

   이 설정을 영구적으로 설정하려면 명령에 --permanent 옵션을 전달합니다.

ICMP 요청 나열

ICMP 요청은 /usr/lib/firewalld/icmptypes/ 디렉터리에 있는 개별 XML 파일에 설명되어 있습니다. 이러한 파일을 읽고 요청에 대한 설명을 확인할 수 있습니다. firewall-cmd 명령은 ICMP 요청 조작을 제어합니다.

• 사용 가능한 모든 ICMP 유형을 나열하려면 다음을 수행합니다.

  # firewall-cmd --get-icmptypes

• ICMP 요청은 IPv4, IPv6 또는 두 프로토콜 모두에서 사용할 수 있습니다. ICMP 요청이 사용된 프로토콜을 보려면 다음을 수행합니다.

  # firewall-cmd --info-icmptype=<icmptype>

• ICMP 요청의 상태는 요청이 현재 차단되어 있거나 그렇지 않은 경우 yes 가 표시됩니다. ICMP 요청이 현재 차단되어 있는지 확인하려면 다음을 수행하십시오.

  # firewall-cmd --query-icmp-block=<icmptype>

ICMP 요청 차단 또는 차단 해제

서버에서 ICMP 요청을 차단하면 정상적으로 수행하는 정보를 제공하지 않습니다. 그러나 이는 정보가 전혀 제공되지 않음을 의미하지는 않습니다. 클라이언트는 특정 ICMP 요청이 차단되고 있는 정보를 수신합니다(거부). 특히 IPv6 트래픽에서 통신 문제가 발생할 수 있으므로 ICMP 요청 차단은 신중하게 고려해야 합니다.

• ICMP 요청이 현재 차단되어 있는지 확인하려면 다음을 수행하십시오.

  # firewall-cmd --query-icmp-block=<icmptype>

• ICMP 요청을 차단하려면 다음을 수행합니다.

  # firewall-cmd --add-icmp-block=<icmptype>

• ICMP 요청의 블록을 제거하려면 다음을 수행합니다.

  # firewall-cmd --remove-icmp-block=<icmptype>

정보를 제공하지 않고 ICMP 요청을 차단

일반적으로 ICMP 요청을 차단하면 클라이언트가 해당 요청을 차단하고 있음을 알고 있습니다. 따라서 실시간 IP 주소를 스니핑하는 잠재적인 공격자는 IP 주소가 온라인 상태임을 계속 확인할 수 있습니다. 이 정보를 완전히 숨기려면 ICMP 요청을 모두 삭제해야 합니다.

• 모든 ICMP 요청을 차단하고 삭제하려면 다음을 수행합니다.

• 영역의 대상을 DROP 으로 설정합니다.

  # firewall-cmd --permanent --set-target=DROP

1. 영역의 대상을 DROP 으로 설정합니다.

   # firewall-cmd --permanent --set-target=DROP

2. 한 번에 모든 ICMP 요청을 차단하는 ICMP 블록 inversion을 추가합니다.

   # firewall-cmd --add-icmp-block-inversion

3. 허용하려는 ICMP 요청에 대해 ICMP 블록을 추가합니다.

   # firewall-cmd --add-icmp-block=<icmptype>

4. 새 설정을 영구적으로 설정합니다.

   # firewall-cmd --runtime-to-permanent

1. 영역 대상을 기본값 또는 ACCEPT 로 설정합니다.

   # firewall-cmd --permanent --set-target=default

2. ICMP 요청에 대해 추가된 모든 블록을 제거합니다.

   # firewall-cmd --remove-icmp-block=<icmptype>

3. ICMP 블록 inversion을 제거합니다.

   # firewall-cmd --remove-icmp-block-inversion

4. 새 설정을 영구적으로 설정합니다.

   # firewall-cmd --runtime-to-permanent

• ICMP 필터를 활성화하거나 비활성화하려면 firewall-config 툴을 시작하고 메시지를 필터링할 네트워크 영역을 선택합니다. ICMP 필터 탭을 선택하고 필터링할 각 ICMP 메시지 유형에 대한 확인란을 선택합니다. 확인란을 지워 필터를 비활성화합니다. 이 설정은 방향에 따라 설정되며 기본값은 모든 것을 허용합니다.
• ICMP 필터 를 반전하려면 오른쪽에 있는 Invert Filter 확인란을 클릭합니다. 이제 표시된 ICMP 유형만 허용되며 다른 모든 항목은 거부됩니다. DROP 대상을 사용하는 영역에서는 해당 대상이 삭제됩니다.

• 영구 환경에서 firewalld 에 알려진 IP 세트를 나열하려면 다음 명령을 root 로 사용합니다.

  # firewall-cmd --permanent --get-ipsets

• 새 IP 세트를 추가하려면 영구 환경을 root 로 사용하여 다음 명령을 사용하십시오.

  # firewall-cmd --permanent --new-ipset=test --type=hash:netsuccess

  이전 명령은 이름이 test 인 새 IP 세트와 IPv4 의 hash:net 유형을 생성합니다. IPv6 에서 사용할 IP 세트를 만들려면 --option=family=inet6 옵션을 추가합니다. 새 설정이 런타임 환경에서 적용되도록 하려면 firewalld 를 다시 로드합니다.

• root 로 다음 명령을 사용하여 새 IP 세트를 나열합니다.

  # firewall-cmd --permanent --get-ipsetstest

• IP 세트에 대한 자세한 정보를 얻으려면 root 로 다음 명령을 사용하십시오.

  # firewall-cmd --permanent --info-ipset=testtesttype: hash:netoptions:entries:

  현재 IP 세트에는 항목이 없습니다.

• 테스트 IP 세트에 항목을 추가하려면 root 로 다음 명령을 사용하십시오.

  # firewall-cmd --permanent --ipset=test --add-entry=192.168.0.1success

  이전 명령은 IP 주소 192.168.0.1 을 IP 집합에 추가합니다.

• IP 세트의 현재 항목 목록을 가져오려면 root 로 다음 명령을 사용하십시오.

  # firewall-cmd --permanent --ipset=test --get-entries192.168.0.1

• IP 주소 목록이 포함된 iplist.txt 파일을 만듭니다. 예를 들면 다음과 같습니다.

  192.168.0.2192.168.0.3192.168.1.0/24192.168.2.254

  IP 집합의 IP 주소 목록이 있는 파일에는 행당 항목이 포함되어야 합니다. 해시, 세미콜론 또는 빈 행으로 시작하는 행은 무시됩니다.

• iplist.txt 파일에서 주소를 추가하려면 root 로 다음 명령을 사용하십시오.

  # firewall-cmd --permanent --ipset=test --add-entries-from-file=iplist.txtsuccess

• IP 세트의 확장 항목 목록을 보려면 root 로 다음 명령을 사용합니다.

  # firewall-cmd --permanent --ipset=test --get-entries192.168.0.1192.168.0.2192.168.0.3192.168.1.0/24192.168.2.254

• IP 세트에서 주소를 제거하고 업데이트된 항목 목록을 확인하려면 root 로 다음 명령을 사용하십시오.

  # firewall-cmd --permanent --ipset=pass:_test_ --remove-entries-from-file=iplist.txtsuccess# firewall-cmd --permanent --ipset=test --get-entries192.168.0.1

• IP 세트를 영역에 소스로 추가하여 영역으로 설정된 IP 세트에 나열된 주소에서 들어오는 모든 트래픽을 처리할 수 있습니다. 예를 들어 테스트 IP 세트를 소스로 추가하여 test IP 세트에 나열된 모든 항목에서 들어오는 모든 패킷을 삭제하려면 다음 명령을 root 로 사용합니다.

  # firewall-cmd --permanent --zone=drop --add-source=ipset:testsuccess

  소스의 ipset: 접두사는 소스가 IP 주소 또는 주소 범위가 아닌 IP 세트임을 firewalld 를 보여줍니다.

• 0보다 낮은 우선 순위: 규칙이 _pre 접미사가 있는 체인으로 리디렉션됩니다.
• 0보다 높은 우선 순위: 규칙이 _post 접미사가 있는 체인으로 리디렉션됩니다.
• priority equals 0: action에 따라 규칙이 _log,_deny, 또는 _allow the action이 있는 체인으로 리디렉션됩니다.

절차

• 우선 순위가 매우 낮은 리치 규칙을 추가하여 다른 규칙과 일치하지 않는 모든 트래픽을 기록합니다.

  # firewall-cmd --add-rich-rule='rule priority=32767 log prefix="UNEXPECTED: " limit value="5/m"'

  이 명령은 또한 로그 항목 수를 분당 5 개로 제한합니다.

검증

• 이전 단계에서 생성된 명령을 사용하여 nftables 규칙을 표시합니다.

  # nft list chain inet firewalld filter_IN_public_posttable inet firewalld { chain filter_IN_public_post { log prefix "UNEXPECTED: " limit rate 5/minute }}

절차

1. 잠금 해제 여부를 쿼리하려면 root 로 다음 명령을 사용하십시오.

   # firewall-cmd --query-lockdown

   이 명령은 잠금이 활성화된 경우 종료 상태가 0 인 yes 를 출력합니다. 그렇지 않으면 종료 상태 1 로 no 를 출력합니다.

2. 잠금을 활성화하려면 root 로 다음 명령을 입력합니다.

   # firewall-cmd --lockdown-on

3. 잠금을 비활성화하려면 root 로 다음 명령을 사용하십시오.

   # firewall-cmd --lockdown-off

• 컨텍스트는 실행 중인 애플리케이션 또는 서비스의 보안(SELinux) 컨텍스트입니다. 실행 중인 애플리케이션의 컨텍스트를 가져오려면 다음 명령을 사용합니다.

  $ ps -e --context

  이 명령은 실행 중인 모든 애플리케이션을 반환합니다. grep 툴을 통해 출력을 파이프하여 관심있는 애플리케이션을 가져옵니다. 예를 들면 다음과 같습니다.

  $ ps -e --context | grep example_program

• 허용 목록에 있는 모든 명령줄을 나열하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --list-lockdown-whitelist-commands

• 허용 목록에 명령 명령을 추가하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --add-lockdown-whitelist-command='/usr/bin/python3 -Es /usr/bin/command'

• 허용 목록에서 명령을 제거하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --remove-lockdown-whitelist-command='/usr/bin/python3 -Es /usr/bin/command'

• 명령 명령이 허용 목록에 있는지 여부를 쿼리하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --query-lockdown-whitelist-command='/usr/bin/python3 -Es /usr/bin/command'

  이 명령은 종료 상태 0 if true로 yes 를 출력합니다. 그렇지 않으면 종료 상태 1 로 no 를 출력합니다.

• 허용 목록에 있는 모든 보안 컨텍스트를 나열하려면 다음 명령을 root 로 입력합니다.

  # firewall-cmd --list-lockdown-whitelist-contexts

• 허용 목록에 컨텍스트 컨텍스트 를 추가하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --add-lockdown-whitelist-context=context

• 허용 목록에서 컨텍스트 컨텍스트 를 제거하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --remove-lockdown-whitelist-context=context

• 컨텍스트 컨텍스트 가 허용 목록에 있는지 여부를 쿼리하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --query-lockdown-whitelist-context=context

  exit status 0, if true를 사용하여 yes 를 출력합니다. 그렇지 않으면 종료 상태 1 로 출력합니다.

• 허용 목록에 있는 모든 사용자 ID를 나열하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --list-lockdown-whitelist-uids

• 허용 목록에 사용자 ID 를 추가하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --add-lockdown-whitelist-uid=uid

• allowlist에서 사용자 ID를 제거하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --remove-lockdown-whitelist-uid=uid

• 사용자 ID uid 가 허용 목록에 있는지 쿼리하려면 다음 명령을 입력합니다.

  $ firewall-cmd --query-lockdown-whitelist-uid=uid

  exit status 0, if true를 사용하여 yes 를 출력합니다. 그렇지 않으면 종료 상태 1 로 출력합니다.

• 허용 목록에 있는 모든 사용자 이름을 나열하려면 다음 명령을 root 로 입력합니다.

  # firewall-cmd --list-lockdown-whitelist-users

• 사용자 이름 사용자를 허용 목록에 추가하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --add-lockdown-whitelist-user=user

• 허용 목록에서 사용자 이름을 제거하려면 root 로 다음 명령을 입력합니다.

  # firewall-cmd --remove-lockdown-whitelist-user=user

• 사용자 이름 사용자가 허용 목록에 있는지 쿼리하려면 다음 명령을 입력합니다.

  $ firewall-cmd --query-lockdown-whitelist-user=user

  exit status 0, if true를 사용하여 yes 를 출력합니다. 그렇지 않으면 종료 상태 1 로 출력합니다.

절차

1. 커널에서 패킷 전달을 활성화합니다.

   # echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/95-IPv4-forwarding.conf# sysctl -p /etc/sysctl.d/95-IPv4-forwarding.conf

2. 영역 내 전달을 활성화하려는 인터페이스가 내부 영역과 다른 영역에 할당되지 않은지 확인합니다.

   # firewall-cmd --get-active-zones

3. 인터페이스가 현재 내부 이외의 영역에 할당되면 이를 다시 할당합니다.

   # firewall-cmd --zone=internal --change-interface=interface_name --permanent

4. enp1s0 및 wlp0s20 인터페이스를 내부 영역에 추가합니다.

   # firewall-cmd --zone=internal --add-interface=enp1s0 --add-interface=wlp0s20

5. 영역 내 전달을 활성화합니다.

   # firewall-cmd --zone=internal --add-forward

검증

다음 확인 단계에서는 nmap-ncat 패키지가 두 호스트 모두에 설치되어 있어야 합니다.

1. 영역 전달을 활성화한 호스트의 enp1s0 인터페이스와 동일한 네트워크에 있는 호스트에 로그인합니다.

2. ncat 을 사용하여 echo 서비스를 시작하여 연결을 테스트합니다.

   # ncat -e /usr/bin/cat -l 12345

3. wlp0s20 인터페이스와 동일한 네트워크에 있는 호스트에 로그인합니다.

4. enp1s0 과 동일한 네트워크에 있는 호스트에서 실행 중인 에코 서버에 연결합니다.

   # ncat <other_host> 12345

5. 임의의 내용을 입력하고 Enter 키를 누르고 텍스트가 다시 전송되었는지 확인합니다.

추가 리소스

• firewalld.zones(5) 도움말 페이지

• 영역.
• 패킷을 허용해야 하는 서비스입니다.
• 포트에 대한 트래픽 액세스 권한 부여, 거부 또는 삭제.
• 영역의 포트 또는 포트 범위 전달.

추가 리소스

• /usr/share/doc/rhel-system-roles/firewall/ 디렉터리의 README.md 및 README.html 파일
• 플레이북 작업
• 인벤토리 빌드 방법

사전 요구 사항

• 제어 노드와 관리형 노드를 준비
• 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
• 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
• 이 플레이북을 실행하려는 관리형 노드 또는 관리형 노드 그룹은 Ansible 인벤토리 파일에 나열됩니다.

절차

1. 다음과 같은 내용과 함께 플레이북 파일(예: ~/reset-firewalld.yml )을 생성합니다.

   ---- name: Reset firewalld example hosts: managed-node-01.example.com tasks: - name: Reset firewalld include_role: name: rhel-system-roles.firewall vars: firewall: - previous: replaced

2. 플레이북을 실행합니다.

   # ansible-playbook ~/configuring-a-dmz.yml

검증

• 이 명령을 관리 노드에서 root 로 실행하여 모든 영역을 확인합니다.

  # firewall-cmd --list-all-zones

추가 리소스

• /usr/share/ansible/roles/rhel-system-roles.firewall/README.md
• ansible-playbook(1)
• firewalld(1)

사전 요구 사항

• 제어 노드와 관리형 노드를 준비
• 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
• 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
• 이 플레이북을 실행하려는 관리형 노드 또는 관리형 노드 그룹은 Ansible 인벤토리 파일에 나열됩니다.

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/port_forwarding.yml )을 생성합니다.

   ---- name: Configure firewalld hosts: managed-node-01.example.com tasks: - name: Forward incoming traffic on port 8080 to 443 include_role: name: rhel-system-roles.firewall vars: firewall: - { forward_port: 8080/tcp;443;, state: enabled, runtime: true, permanent: true }

2. 플레이북을 실행합니다.

   # ansible-playbook ~/port_forwarding.yml

검증

• 관리 호스트에서 firewalld 설정을 표시합니다.

  # firewall-cmd --list-forward-ports

추가 리소스

• /usr/share/ansible/roles/rhel-system-roles.firewall/README.md

사전 요구 사항

• 제어 노드와 관리형 노드를 준비
• 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
• 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
• 이 플레이북을 실행하려는 관리형 노드 또는 관리형 노드 그룹은 Ansible 인벤토리 파일에 나열됩니다.

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/opening-a-port.yml )을 생성합니다.

   ---- name: Configure firewalld hosts: managed-node-01.example.com tasks: - name: Allow incoming HTTPS traffic to the local host include_role: name: rhel-system-roles.firewall vars: firewall: - port: 443/tcp service: http state: enabled runtime: true permanent: true

   permanent: true 옵션을 사용하면 재부팅해도 새 설정이 유지됩니다.

2. 플레이북을 실행합니다.

   # ansible-playbook ~/opening-a-port.yml

검증

• 관리형 노드에서 HTTPS 서비스와 연결된 443/tcp 포트가 열려 있는지 확인합니다.

  # firewall-cmd --list-ports443/tcp

추가 리소스

• /usr/share/ansible/roles/rhel-system-roles.firewall/README.md

사전 요구 사항

• 제어 노드와 관리형 노드를 준비
• 관리 노드에서 플레이북을 실행할 수 있는 사용자로 제어 노드에 로그인되어 있습니다.
• 관리형 노드에 연결하는 데 사용하는 계정에는 sudo 권한이 있습니다.
• 이 플레이북을 실행하려는 관리형 노드 또는 관리형 노드 그룹은 Ansible 인벤토리 파일에 나열됩니다.

절차

1. 다음 콘텐츠를 사용하여 플레이북 파일(예: ~/configuring-a-dmz.yml )을 만듭니다.

   ---- name: Configure firewalld hosts: managed-node-01.example.com tasks: - name: Creating a DMZ with access to HTTPS port and masquerading for hosts in DMZ include_role: name: rhel-system-roles.firewall vars: firewall: - zone: dmz interface: enp1s0 service: https state: enabled runtime: true permanent: true

2. 플레이북을 실행합니다.

   # ansible-playbook ~/configuring-a-dmz.yml

검증

• 관리 노드에서 dmz 영역에 대한 자세한 정보를 확인합니다.

  # firewall-cmd --zone=dmz --list-alldmz (active) target: default icmp-block-inversion: no interfaces: enp1s0 sources: services: https ssh ports: protocols: forward: no masquerade: no forward-ports: source-ports: icmp-blocks:

추가 리소스

• /usr/share/ansible/roles/rhel-system-roles.firewall/README.md