Просмотр кода страницы Firewalld. Centos 7. IP address list. IPset

= Описание =
Использование IPset во встроенном брандмауэре CentOS 7

= Настройка =
IPset это именованные списки IP-адресов и подсетей, которые можно использовать в правилах iptables для уменьшения количества этих правил. Чем меньше правил — тем быстрее они анализируются, тем производительнее сеть на данном сервере. Поддержка IPset появилась в firewalld начиная с версии 0.4.0.

Смотрим версию firewalld

<code>firewall-cmd --version</code>
 ...
 0.3.9
 ...
Версия ниже, чем 0.4.0, значит ее надо обновить

<code>yum install firewall</code>

Снова проверяем версию firewall

<code>firewall-cmd -V</code>
 ...
 0.4.4.4
 ...
Добавим список адресов

<code>firewall-cmd --permanent --new-ipset=IP-whitelist --type=hash:ip</code>

Если в списке должны быть и адреса, и подсети, то список следует добавлять так

<code>firewall-cmd --permanent --new-ipset=IP-whitelist --type=hash:net</code>

Опция "--permanent" добавляет конфигурационный файл этого списка, без нее после перезагрузки списка у нас не будет. А еще она сохраняет правила, списки и адреса в различные конфигурационные файлы .xml в директории /etc/firewalld, чтобы они автоматически применялись при перезагрузке сервера. Если нужно просто протестировать список или правило, опцию "--permanent" добавлять не нужно, правило или список в этом случае сохранится только до ближайшей перезагрузки.

Теперь будем добавлять в список адресов собственно адреса

<code>firewall-cmd --ipset=IP-whitelist --add-entry=192.168.1.4 --permanent</code>

<code>firewall-cmd --ipset=IP-whitelist --add-entry=192.168.1.6 --permanent</code>

<code>firewall-cmd --ipset=IP-whitelist --add-entry=192.168.1.8 --permanent</code>

И подсети

<code>firewall-cmd --ipset=IP-whitelist --add-entry=192.168.2.0/24 --permanent</code>

<code>firewall-cmd --ipset=IP-whitelist --add-entry=192.168.1.100/28 --permanent</code>

Перезагрузим настройки firewall

<code>firewall-cmd --reload</code>

Показать существующие списки адресов

<code>firewall-cmd --get-ipsets</code>
 ...
 IP-whitelist
 ...
Показать содержимое списка

<code>firewall-cmd --ipset=IP-whitelist --get-entries</code>
 ...
 192.168.1.4
 192.168.1.6
 192.168.1.8
 192.168.2.0/24
 192.168.1.100/28
 ...
Список у нас есть, можем теперь добавить правила, работающие с этими списками.

Допустим, нам надо, чтобы сервис ssh был доступен только для белого списка адресов IP-whitelist, а порты 80 и 443 были закрыты для адресов в списке IP-blacklist

Добавим правило, разрешающее сервис ssh для белого списка «IP-whitelist»

<code>firewall-cmd --permanent --zone=public --add-rich-rule='rule source ipset="IP-whitelist" service name="ssh" accept'</code>

Если есть правило, разрешающее сервис ssh для всех, удалим его

<code>firewall-cmd --permanent --zone=public --remove-service=ssh</code>

Убедились, что ваш адрес есть в белом списке, иначе доступ к серверу будет закрыт!

<code>firewall-cmd --ipset=IP-whitelist --get-entries</code>

Перезагрузим настройки firewall

<code>firewall-cmd --reload</code>

Теперь создадим список IP-blacklist, добавим туда адреса

<code>firewall-cmd --permanent --new-ipset=IP-blacklist --type=hash:net</code>

<code>firewall-cmd --ipset=IP-blacklist --add-entry=192.168.1.5 --permanent</code>

<code>firewall-cmd --ipset=IP-blacklist --add-entry=192.168.1.7 --permanent</code>

<code>firewall-cmd --ipset=IP-blacklist --add-entry=192.168.3.0/24 --permanent</code>

<code>firewall-cmd --ipset=IP-blacklist --add-entry=192.168.4.0/23 --permanent</code>

Проверим, если хотим

<code>firewall-cmd --get-ipsets</code>
 ...
 IP-whitelist
 IP-blacklist
 ...
<code>firewall-cmd --ipset=IP-whitelist --get-entries</code>
 ...
 192.168.1.5
 192.168.1.7
 192.168.3.0/24
 192.168.4.0/23
 ...
И запретим доступ с этих адресов для портов 80 и 443 используя опцию service

<code>firewall-cmd --add-rich-rule='rule source ipset=IP-blacklist service name="http" drop' --permanent</code>

<code>firewall-cmd --add-rich-rule='rule source ipset=IP-blacklist service name="https" drop' --permanent</code>

Или опцию port

<code>firewall-cmd --add-rich-rule='rule source ipset=IP-blacklist port protocol="tcp" port="80" drop' --permanent</code>

<code>firewall-cmd --add-rich-rule='rule source ipset=IP-blacklist port  protocol="tcp" port="80" drop' --permanent</code>

Перезагружаем настройки firewall

<code>firewall-cmd --reload</code>

Правила добавлены, блокировка включена, к ssh имеют доступ только разрешенные хосты. Теперь во время работы сервера мы можем добавлять и убирать адреса в эти списки

Добавление адреса в списки

<code>firewall-cmd --ipset=IP-blacklist --add-entry=192.168.1.20 --permanent</code>

<code>firewall-cmd --ipset=IP-blacklist --add-entry=192.168.1.70 --permanent</code>

<code>firewall-cmd --ipset=IP-whitelist --add-entry=192.168.1.80 --permanent</code>

<code>firewall-cmd --reload</code>

Удаление адреса из списка

<code>firewall-cmd --ipset=IP-blacklist --remove-entry=192.168.1.5 --permanent</code>

<code>firewall-cmd --ipset=IP-blacklist --remove-entry=192.168.1.7 --permanent</code>

<code>firewall-cmd --reload</code>
[[Категория:Firewalld]]
[[Категория:Centos 7]]
__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__