Firewalld хорошая замена iptables, пришедшая в базовых версиях Centos 7. Он не сильно отличается от своего предшественника и все изменения, в основном, связаны лишь в способе ввода тех или иных команд. Давайте начнем с самого простого - установки.

Установка

Несмотря на то, что в базовых версиях Centos 7 firewall установлен по-умолчанию, некоторые хостинг провайдера удаляют его из своих сборок. Если на команду

systemctl status firewalld

система отвечает, что firewalld не найден, то необходимо выполнить его установку следующей командой:

yum -y install firewalld

После установки необходимо будет запустить firewalld и добавить его в автозагрузку. Выполняем следующие команды:

systemctl status firewalld
systemctl enable firewalld

Проверим теперь статус firewalld:

firewall-cmd --state

Если ответ "running", значит наш брандмаур установлен и готов к работе.

Общее

В firewalld используется несколько различных зон, отвечающих за тот или иной способ обработки соединения. В этой статье мы будет работать только с зоной public, так как она является основной(а так же используется по-умолчанию), но если вдруг вам станет интересно какие еще зоны доступны в firewalld, то смело выполняйте команду

firewall-cmd --get-zones

которая выведет вам все доступные зоны.

Так же в firewalld имеется возможность установки постоянных правил. Для этого используется ключ--permanent.

Давайте посмотрим, а что же доступно нам "из коробки":

firewall-cmd --list-all

Кстати, если добавить ключикpermanent, о котором я говорил чуть выше, то list-all выведет лишь то, что доступно на постоянной основе.

Если вдруг вы захотите увидеть лишь доступные порты, то можно воспользоваться следующей командой:

firewall-cmd --list-ports

После каких-либо изменений необходимо перезагружать измененные правила. Для этого выполняется команда

firewall-cmd --reload

Открываем порт

Открыть порт возможно простой командой add-port:

firewall-cmd --zone=public --add-port=3000/tcp

Тут мы открываем порт 3000 для public. В данном примере настройка сохранится лишь временно, так как не указанpermanent. Давайте откроем его на постоянной основе:

firewall-cmd --permanent --zone=public --add-port=3000/tcp

После изменений не забывайте перезагружать правила.

Закрываем порт

Для того, чтобы закрыть тот или иной порт используется команда remove-port:

firewall-cmd --zone=public --remove-port=3000/tcp

Удаление порта так же может быть как постоянным, так и временным, поэтому не забывайте проpermanent:

firewall-cmd --permanent --zone=public --remove-port=3000/tcp

Сервисы

Если вы выполняли командуlist-all, то могли обратить внимание на services. Подключенные сервисы сами так же используют определенные порты, но они уже не записываются в переменную открытых портов, а значит их уже не увидеть в list-ports.

Давайте, для примера, создадим сервис pptp, который будет работать на 1723 порту, используя tcp. Создаем сервис:

firewall-cmd --permanent --new-service=pptp

Так, сервис для firewalld создан. Давайте немного подредактируем его открываем файл, расположенный по пути/etc/firewalld/services/pptp.xml и заменяем его содержимое на следующее:

<?xml version="1.0" encoding="utf-8"?> 
<service>
    <port port="1723" protocol="tcp"></port>
</service>

Как можно было заметить, все настройки сервисов хранятся в xml формате.

После создания сервиса его необходимо добавить в firewalld:

firewall-cmd --permanent --zone=public --add-service=pptp

Теперь наш сервис будет доступен после перезагрузки правил. Чтобы удалить данный service воспользуемся следующей командой:

firewall-cmd --permanent --remove-service=pptp

Если вас заинтересовала данная возможность, то вы можете посмотреть список доступных services, используя следующую команду:

firewall-cmd --get-services

Еще пару команд

Вроде самые важные возможности я описал, но всё же давайте посмотрим еще некоторые команды для firewalld:

• get-active-zones - список активных зон;
• add-interface - добавить интерфейс;
• change-interface - изменить интерфейс;
• remove-interface - удалить интерфейс;
• panic-on - включение режима паники. Позволяет заблокировать все сетевые соединения;
• panic-off - отключение режима паники;
• add-masquerade - добавить маскарадинг;
• remove-masquerade - удалить маскарадинг.

Пример. Переносим порт для ssh

Давайте перенесем наш ssh на нестандартный порт, например на 5555. Итак, для начала нам необходимо открыть данный порт:

firewall-cmd --permanent --zone=public --add-port=5555/tcp
firewall-cmd --reload

Проверяем работу ssh на новом порту и, если всё работает хорошо, удаляем ssh service:

firewall-cmd --permanent --remove-service=ssh
firewall-cmd --reload

В данном примере нет информации по редактированию конфигурации ssh, так как она не относится к данной статье, но, в качестве подсказки, конфиг находится по пути /etc/ssh/sshd_config.

Заключение

Несмотря на такое количество не осмотренных команд, данная статья заканчивается именно на тут :( Надеюсь, что читатели данной статьи теперь смогут с легкостью открыть порты для своих приложений.