Cómo configurar un firewall con FirewallD en CentOS 7

Introducción

Firewalld es una solución de administración de firewall disponible para muchas distribuciones de Linux que actúa como interfaz para el sistema de filtrado de paquetes iptables proporcionado por el núcleo de Linux. En esta guía, explicaremos cómo configurar un firewall para su servidor y le mostraremos los conceptos básicos de administración del firewall con la firewall-cmdherramienta administrativa (si prefiere usarlo iptablescon CentOS, siga esta guía ).

Nota: Es posible que esté trabajando con una versión más nueva de firewalld que la que estaba disponible al momento de escribir este artículo, o que su servidor se haya configurado de manera ligeramente diferente al servidor de ejemplo utilizado en esta guía. El comportamiento de algunos de los comandos explicados en esta guía puede variar según su configuración específica.

Conceptos básicos de Firewall

Antes de comenzar a hablar sobre cómo usar realmente la firewall-cmdutilidad para administrar la configuración del firewall, debemos familiarizarnos con algunos conceptos básicos que presenta la herramienta.

Zonas

El firewallddemonio administra grupos de reglas mediante entidades llamadas “zonas”. Las zonas son básicamente conjuntos de reglas que dictan qué tráfico se debe permitir según el nivel de confianza que tenga en las redes a las que está conectado su equipo. A las interfaces de red se les asigna una zona para dictar el comportamiento que debe permitir el firewall.

En el caso de los equipos que pueden moverse entre redes con frecuencia (como los portátiles), este tipo de flexibilidad proporciona un buen método para cambiar las reglas en función del entorno. Es posible que tenga reglas estrictas que prohíban la mayor parte del tráfico cuando se opera en una red WiFi pública, pero que permitan restricciones más laxas cuando se conecte a su red doméstica. En el caso de un servidor, estas zonas no son tan importantes de inmediato porque el entorno de red rara vez cambia, o nunca.

Independientemente de lo dinámico que pueda ser su entorno de red, sigue siendo útil familiarizarse con la idea general detrás de cada una de las zonas predefinidas para firewalld. En orden de menor a mayor confianza , las zonas predefinidas firewalldson:

• Drop : el nivel de confianza más bajo. Todas las conexiones entrantes se descartan sin respuesta y solo son posibles las conexiones salientes.
• bloque : similar al anterior, pero en lugar de simplemente descartar las conexiones, las solicitudes entrantes se rechazan con un mensaje icmp-host-prohibitedo icmp6-adm-prohibited.
• público : representa redes públicas que no son de confianza. No confía en otras computadoras, pero puede permitir conexiones entrantes seleccionadas según cada caso.
• externa : redes externas en caso de que estés usando el firewall como puerta de enlace. Está configurada para enmascaramiento NAT, de modo que tu red interna permanezca privada pero accesible.
• Interno : El otro lado de la zona externa, que se utiliza para la parte interna de una puerta de enlace. Las computadoras son bastante confiables y hay algunos servicios adicionales disponibles.
• dmz : se utiliza para equipos ubicados en una DMZ (equipos aislados que no tendrán acceso al resto de la red). Solo se permiten ciertas conexiones entrantes.
• work : Se utiliza para máquinas de trabajo. Confía en la mayoría de las computadoras de la red. Se pueden permitir algunos servicios más.
• home : Un entorno doméstico. Generalmente implica que confías en la mayoría de las otras computadoras y que se aceptarán algunos servicios más.
• Trusted : Confía en todas las máquinas de la red. Es la opción más abierta de las disponibles y se debe usar con moderación.

Para utilizar el firewall, podemos crear reglas y alterar las propiedades de nuestras zonas y luego asignar nuestras interfaces de red a las zonas que sean más apropiadas.

Permanencia de la regla

En firewalld, las reglas se pueden designar como permanentes o inmediatas. Si se agrega o modifica una regla, de manera predeterminada, se modifica el comportamiento del firewall que se está ejecutando en ese momento. En el próximo arranque, se eliminarán las modificaciones y se aplicarán las reglas antiguas.

La mayoría de firewall-cmdlas operaciones pueden utilizar el --permanentindicador para indicar que se debe apuntar al firewall no efímero. Esto afectará al conjunto de reglas que se vuelve a cargar al iniciar. Esta separación significa que puede probar reglas en su instancia de firewall activa y luego volver a cargarla si hay problemas. También puede utilizar el --permanentindicador para crear un conjunto completo de reglas a lo largo del tiempo que se aplicarán todas a la vez cuando se emita el comando de recarga.

Instalar y habilitar el firewall para que se inicie al arrancar el sistema

firewalldSe instala de forma predeterminada en algunas distribuciones de Linux, incluidas muchas imágenes de CentOS 7. Sin embargo, es posible que deba instalar firewalld usted mismo:

sudo yum install firewalld

Después de instalarlo firewalld, puede habilitar el servicio y reiniciar el servidor. Tenga en cuenta que habilitar firewalld hará que el servicio se inicie durante el arranque. Se recomienda crear reglas de firewall y aprovechar la oportunidad para probarlas antes de configurar este comportamiento para evitar posibles problemas.

sudo systemctl enable firewalld
sudo reboot

Cuando el servidor se reinicie, su firewall debería activarse, sus interfaces de red deberían colocarse en las zonas que configuró (o volver a la zona predeterminada configurada) y cualquier regla asociada con las zonas se aplicará a las interfaces asociadas.

Podemos verificar que el servicio está funcionando y es accesible escribiendo:

sudo firewall-cmd --state

Outputrunning

Esto indica que nuestro firewall está funcionando con la configuración predeterminada.

Familiarizarse con las reglas actuales del firewall

Antes de comenzar a realizar modificaciones, debemos familiarizarnos con el entorno predeterminado y las reglas proporcionadas por el demonio.

Explorando los valores predeterminados

Podemos ver qué zona está seleccionada actualmente como predeterminada escribiendo:

firewall-cmd --get-default-zone

Outputpublic

Dado que no hemos dado firewalldningún comando para desviarnos de la zona predeterminada y ninguna de nuestras interfaces está configurada para vincularse a otra zona, esa zona también será la única zona “activa” (la zona que controla el tráfico de nuestras interfaces). Podemos verificarlo escribiendo:

firewall-cmd --get-active-zones

Outputpublic  interfaces: eth0 eth1

Aquí podemos ver que nuestro servidor de ejemplo tiene dos interfaces de red controladas por el firewall ( eth0y eth1). Ambas se administran actualmente de acuerdo con las reglas definidas para la zona pública.

¿Pero cómo sabemos qué reglas están asociadas con la zona pública? Podemos imprimir la configuración de la zona predeterminada escribiendo:

sudo firewall-cmd --list-all

Outputpublic (default, active)  target: default  icmp-block-inversion: no  interfaces: eth0 eth1  sources:  services: ssh dhcpv6-client  ports:  protocols:  masquerade: no  forward-ports:  source-ports:  icmp-blocks:  rich rules:

Podemos saber a partir de la salida que esta zona es la predeterminada y la activa y que las eth0interfaces eth1y están asociadas con esta zona (todo esto ya lo sabíamos de nuestras consultas anteriores). Sin embargo, también podemos ver que esta zona permite las operaciones normales asociadas con un cliente DHCP (para la asignación de direcciones IP) y SSH (para la administración remota).

Explorando zonas alternativas

Ahora tenemos una buena idea de la configuración de la zona predeterminada y activa. También podemos obtener información sobre otras zonas.

Para obtener una lista de las zonas disponibles, escriba:

firewall-cmd --get-zones

Outputblock dmz drop external home internal public trusted work

Podemos ver la configuración específica asociada a una zona incluyendo el --zone=parámetro en nuestro --list-allcomando:

sudo firewall-cmd --zone=home --list-all

Outputhome  target: default  icmp-block-inversion: no  interfaces:  sources:  services: dhcpv6-client mdns samba-client ssh  ports:  protocols:  masquerade: no  forward-ports:  source-ports:  icmp-blocks:  rich rules:

Puede generar todas las definiciones de zona mediante la --list-all-zonesopción. Probablemente desee enviar la salida a un buscapersonas para que sea más fácil de ver:

sudo firewall-cmd --list-all-zones | less

Selección de zonas para sus interfaces

A menos que haya configurado sus interfaces de red de otra manera, cada interfaz se colocará en la zona predeterminada cuando se inicie el firewall.

Cambiar la zona de una interfaz

Puede realizar la transición de una interfaz entre zonas durante una sesión utilizando el --zone=parámetro en combinación con el --change-interface=parámetro . Al igual que con todos los comandos que modifican el firewall, deberá utilizar sudo.

Por ejemplo, podemos trasladar nuestra eth0interfaz a la zona “inicio” escribiendo lo siguiente:

sudo firewall-cmd --zone=home --change-interface=eth0

Outputsuccess

Nota: Siempre que estés transfiriendo una interfaz a una nueva zona, ten en cuenta que probablemente estés modificando los servicios que estarán operativos. Por ejemplo, aquí nos estamos moviendo a la zona “de inicio”, que tiene SSH disponible. Esto significa que nuestra conexión no debería caerse. Algunas otras zonas no tienen SSH habilitado de manera predeterminada y si tu conexión se cae mientras usas una de estas zonas, es posible que no puedas volver a iniciar sesión.

Podemos verificar que esto fue exitoso preguntando nuevamente por las zonas activas:

firewall-cmd --get-active-zones

Outputhome  interfaces: eth0public  interfaces: eth1

Ajuste de la zona predeterminada

Si todas sus interfaces pueden manejarse mejor mediante una sola zona, probablemente sea más fácil seleccionar la mejor zona predeterminada y luego usarla para su configuración.

Puede cambiar la zona predeterminada con el --set-default-zone=parámetro. Esto cambiará inmediatamente cualquier interfaz que haya recurrido a la zona predeterminada a la nueva zona:

sudo firewall-cmd --set-default-zone=home

Outputsuccess

Establecer reglas para sus aplicaciones

La forma básica de definir excepciones de firewall para los servicios que desea poner a disposición es bastante sencilla. Repasaremos la idea básica aquí.

Cómo agregar un servicio a sus zonas

El método más sencillo es añadir los servicios o puertos que necesites a las zonas que estés utilizando. Nuevamente, puedes obtener una lista de los servicios disponibles con la --get-servicesopción:

firewall-cmd --get-services

OutputRH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server

Nota: Puede obtener más detalles sobre cada uno de estos servicios consultando el .xmlarchivo asociado dentro del /usr/lib/firewalld/servicesdirectorio. Por ejemplo, el servicio SSH se define de la siguiente manera:

/usr/lib/firewalld/services/ssh.xml

?xml version="1.0" encoding="utf-8"?service  shortSSH/short  descriptionSecure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful./description  port protocol="tcp" port="22"//service

Puede habilitar un servicio para una zona mediante el --add-service=parámetro. La operación se dirigirá a la zona predeterminada o a cualquier zona especificada por el --zone=parámetro. De manera predeterminada, esto solo ajustará la sesión de firewall actual. Puede ajustar la configuración permanente del firewall incluyendo el --permanentindicador.

Por ejemplo, si estamos ejecutando un servidor web que atiende tráfico HTTP convencional, podemos permitir este tráfico para las interfaces en nuestra zona “pública” para esta sesión escribiendo:

sudo firewall-cmd --zone=public --add-service=http

Puede omitir el campo --zone=si desea modificar la zona predeterminada. Podemos verificar que la operación se realizó correctamente mediante las operaciones --list-allo :--list-services

sudo firewall-cmd --zone=public --list-services

Outputdhcpv6-client http ssh

Una vez que hayas comprobado que todo funciona como debería, probablemente quieras modificar las reglas permanentes del firewall para que tu servicio siga estando disponible después de reiniciar. Podemos hacer que nuestro cambio de zona “pública” sea permanente escribiendo lo siguiente:

sudo firewall-cmd --zone=public --permanent --add-service=http

Outputsuccess

Puede verificar que esto se realizó correctamente agregando la --permanentbandera a la --list-servicesoperación. Debe usar sudopara cualquier --permanentoperación:

sudo firewall-cmd --zone=public --permanent --list-services

Outputdhcpv6-client http ssh

Su zona “pública” ahora permitirá el tráfico web HTTP en el puerto 80. Si su servidor web está configurado para usar SSL/TLS, también querrá agregar el httpsservicio. Podemos agregarlo a la sesión actual y al conjunto de reglas permanentes escribiendo:

sudo firewall-cmd --zone=public --add-service=https
sudo firewall-cmd --zone=public --permanent --add-service=https

¿Qué pasa si no hay ningún servicio adecuado disponible?

Los servicios de firewall que se incluyen con la instalación de firewalld representan muchos de los requisitos más comunes para las aplicaciones a las que quizás desee permitir el acceso. Sin embargo, es probable que haya situaciones en las que estos servicios no se ajusten a sus requisitos.

En esta situación, tienes dos opciones.

Abrir un puerto para tus zonas

Una forma de agregar compatibilidad para su aplicación específica es abrir los puertos que utiliza en las zonas correspondientes. Esto se hace especificando el puerto o el rango de puertos y el protocolo asociado para los puertos que necesita abrir.

Por ejemplo, si nuestra aplicación se ejecuta en el puerto 5000 y utiliza TCP, podríamos agregarlo a la zona “pública” para esta sesión utilizando el --add-port=parámetro . Los protocolos pueden tcpser udp:

sudo firewall-cmd --zone=public --add-port=5000/tcp

Outputsuccess

Podemos verificar que esto fue exitoso mediante la --list-portsoperación:

sudo firewall-cmd --zone=public --list-ports

Output5000/tcp

También es posible especificar un rango secuencial de puertos separando el puerto inicial y final del rango con un guión. Por ejemplo, si nuestra aplicación utiliza los puertos UDP 4990 a 4999, podríamos abrirlos en “público” escribiendo:

sudo firewall-cmd --zone=public --add-port=4990-4999/udp

Después de realizar pruebas, es probable que queramos agregarlos al firewall permanente. Puede hacerlo escribiendo lo siguiente:

sudo firewall-cmd --zone=public --permanent --add-port=5000/tcp
sudo firewall-cmd --zone=public --permanent --add-port=4990-4999/udp
sudo firewall-cmd --zone=public --permanent --list-ports

Outputsuccesssuccess5000/tcp 4990-4999/udp

Definición de un servicio

Abrir puertos para tus zonas es fácil, pero puede resultar difícil hacer un seguimiento de para qué sirve cada uno. Si alguna vez deshabilitas un servicio en tu servidor, es posible que tengas dificultades para recordar qué puertos abiertos aún son necesarios. Para evitar esta situación, es posible definir un servicio.

Los servicios son conjuntos de puertos con un nombre y una descripción asociados. El uso de servicios es más fácil de administrar que el de puertos, pero requiere un poco de trabajo previo. Una buena forma de comenzar es copiar un script existente (que se encuentra en /usr/lib/firewalld/services) al /etc/firewalld/servicesdirectorio donde el firewall busca definiciones no estándar.

Por ejemplo, podríamos copiar la definición del servicio SSH para usarla en nuestra definición de servicio de “ejemplo” de la siguiente manera. El nombre del archivo menos el .xmlsufijo determinará el nombre del servicio dentro de la lista de servicios del firewall:

sudo cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/example.xml

Ahora, puedes ajustar la definición que se encuentra en el archivo que copiaste:

sudo vi /etc/firewalld/services/example.xml

Para comenzar, el archivo contendrá la definición SSH que copiaste:

/etc/firewalld/services/example.xml

?xml version="1.0" encoding="utf-8"?service  shortSSH/short  descriptionSecure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful./description  port protocol="tcp" port="22"//service

La mayor parte de esta definición son metadatos. Deberá cambiar el nombre corto del servicio dentro de las shortetiquetas. Este es un nombre legible para el servicio. También debe agregar una descripción para tener más información si alguna vez necesita auditar el servicio. La única configuración que necesita realizar y que realmente afecta la funcionalidad del servicio probablemente será la definición del puerto donde identifica el número de puerto y el protocolo que desea abrir. Esto se puede especificar varias veces.

Para nuestro servicio de “ejemplo”, imaginemos que necesitamos abrir el puerto 7777 para TCP y el 8888 para UDP. Al ingresar al modo INSERT presionando i, podemos modificar la definición existente con algo como esto:

/etc/firewalld/services/example.xml

?xml version="1.0" encoding="utf-8"?service  shortExample Service/short  descriptionThis is just an example service.  It probably shouldn't be used on a real system./description  port protocol="tcp" port="7777"/  port protocol="udp" port="8888"//service

Presione ESCy luego Enter :xpara guardar y cerrar el archivo.

Recargue su firewall para obtener acceso a su nuevo servicio:

sudo firewall-cmd --reload

Puedes ver que ahora está entre la lista de servicios disponibles:

firewall-cmd --get-services

OutputRH-Satellite-6 amanda-client amanda-k5-client bacula bacula-client bitcoin bitcoin-rpc bitcoin-testnet bitcoin-testnet-rpc ceph ceph-mon cfengine condor-collector ctdb dhcp dhcpv6 dhcpv6-client dns docker-registry dropbox-lansync elasticsearch example freeipa-ldap freeipa-ldaps freeipa-replication freeipa-trust ftp ganglia-client ganglia-master high-availability http https imap imaps ipp ipp-client ipsec iscsi-target kadmin kerberos kibana klogin kpasswd kshell ldap ldaps libvirt libvirt-tls managesieve mdns mosh mountd ms-wbt mssql mysql nfs nrpe ntp openvpn ovirt-imageio ovirt-storageconsole ovirt-vmconsole pmcd pmproxy pmwebapi pmwebapis pop3 pop3s postgresql privoxy proxy-dhcp ptp pulseaudio puppetmaster quassel radius rpc-bind rsh rsyncd samba samba-client sane sip sips smtp smtp-submission smtps snmp snmptrap spideroak-lansync squid ssh synergy syslog syslog-tls telnet tftp tftp-client tinc tor-socks transmission-client vdsm vnc-server wbem-https xmpp-bosh xmpp-client xmpp-local xmpp-server

Ahora puedes utilizar este servicio en tus zonas como lo harías normalmente.

Creando tus propias zonas

Si bien las zonas predefinidas probablemente serán más que suficientes para la mayoría de los usuarios, puede ser útil definir sus propias zonas que sean más descriptivas de su función.

Por ejemplo, es posible que desee crear una zona para su servidor web, denominada “publicweb”. Sin embargo, es posible que desee tener otra zona configurada para el servicio DNS que proporciona en su red privada. Es posible que desee una zona denominada “privateDNS” para ello.

Al agregar una zona, debe agregarla a la configuración permanente del firewall. Luego, puede volver a cargarla para incorporar la configuración a su sesión en ejecución. Por ejemplo, podríamos crear las dos zonas que analizamos anteriormente escribiendo:

sudo firewall-cmd --permanent --new-zone=publicweb
sudo firewall-cmd --permanent --new-zone=privateDNS

Puede verificar que estén presentes en su configuración permanente escribiendo:

sudo firewall-cmd --permanent --get-zones

Outputblock dmz drop external home internal privateDNS public publicweb trusted work

Como se indicó anteriormente, estos aún no estarán disponibles en la instancia actual del firewall:

firewall-cmd --get-zones

Outputblock dmz drop external home internal public trusted work

Recargue el firewall para incorporar estas nuevas zonas a la configuración activa:

sudo firewall-cmd --reload
firewall-cmd --get-zones

Outputblock dmz drop external home internal privateDNS public publicweb trusted work

Ahora, puede comenzar a asignar los servicios y puertos adecuados a sus zonas. Por lo general, es una buena idea ajustar la instancia activa y luego transferir esos cambios a la configuración permanente después de realizar la prueba. Por ejemplo, para la zona “publicweb”, es posible que desee agregar los servicios SSH, HTTP y HTTPS:

sudo firewall-cmd --zone=publicweb --add-service=ssh
sudo firewall-cmd --zone=publicweb --add-service=http
sudo firewall-cmd --zone=publicweb --add-service=https
sudo firewall-cmd --zone=publicweb --list-all

Outputpublicweb  target: default  icmp-block-inversion: no  interfaces:  sources:  services: ssh http https  ports:  protocols:  masquerade: no  forward-ports:  source-ports:  icmp-blocks:  rich rules:

Del mismo modo, podemos añadir el servicio DNS a nuestra zona “privateDNS”:

sudo firewall-cmd --zone=privateDNS --add-service=dns
sudo firewall-cmd --zone=privateDNS --list-all

OutputprivateDNS  interfaces:  sources:  services: dns  ports:  masquerade: no  forward-ports:  icmp-blocks:  rich rules:

Luego podríamos cambiar nuestras interfaces a estas nuevas zonas para probarlas:

sudo firewall-cmd --zone=publicweb --change-interface=eth0
sudo firewall-cmd --zone=privateDNS --change-interface=eth1

En este punto, tienes la oportunidad de probar tu configuración. Si estos valores funcionan para ti, deberás agregar las mismas reglas a la configuración permanente. Puedes hacerlo volviendo a aplicar las reglas con la --permanentbandera:

sudo firewall-cmd --zone=publicweb --permanent --add-service=ssh
sudo firewall-cmd --zone=publicweb --permanent --add-service=http
sudo firewall-cmd --zone=publicweb --permanent --add-service=https
sudo firewall-cmd --zone=privateDNS --permanent --add-service=dns

Después de aplicar permanentemente estas reglas, puede reiniciar su red y recargar su servicio de firewall:

sudo systemctl restart network
sudo systemctl reload firewalld

Validar que se hayan asignado las zonas correctas:

firewall-cmd --get-active-zones

OutputprivateDNS  interfaces: eth1publicweb  interfaces: eth0

Y validar que los servicios adecuados estén disponibles para ambas zonas:

sudo firewall-cmd --zone=publicweb --list-services

Outputhttp https ssh

sudo firewall-cmd --zone=privateDNS --list-services

Outputdns

¡Ha configurado correctamente sus propias zonas! Si desea que una de estas zonas sea la predeterminada para otras interfaces, recuerde configurar ese comportamiento con el --set-default-zone=parámetro:

sudo firewall-cmd --set-default-zone=publicweb

Conclusión

Ahora debería tener una comprensión bastante buena de cómo administrar el servicio firewalld en su sistema CentOS para el uso diario.

El servicio firewalld le permite configurar reglas y conjuntos de reglas que se puedan mantener y que tengan en cuenta su entorno de red. Le permite realizar transiciones sin inconvenientes entre diferentes políticas de firewall mediante el uso de zonas y brinda a los administradores la capacidad de abstraer la administración de puertos en definiciones de servicios más amigables. Adquirir un conocimiento práctico de este sistema le permitirá aprovechar la flexibilidad y la potencia que brinda esta herramienta.