Comment ajouter une source, des services et des ports à la zone de pare-feu dans CentOS/RHEL 7 et 8

L'accès à certains ports est bloqué ou abandonné par firewalld à moins d'être ajouté à une zone de pare-feu. Cet article décrit les étapes pour ajouter une source, un service et des ports aux zones de pare-feu dans les systèmes CentOS/RHEL 7 et 8.

Ajout d'un service à la zone de pare-feu

Ajouter un service à une zone est le moyen le plus simple de configurer le pare-feu.

– Pour autoriser l'accès à un nouveau service, utilisez l'option de service « –add-service ».
– Incluez le « –permanent ” option pour rendre la règle persistante à travers les redémarrages.

Par exemple, pour ajouter les services cockpit, dhcpv6-client, http, https, vnc-server et ssh à la zone interne, vous utiliserez la commande suivante :

# firewall-cmd --add-service cockpit --zone=internal --permanent
# firewall-cmd --add-service dhcpv6-client --zone=internal --permanent
# firewall-cmd --add-service http --zone=internal --permanent
# firewall-cmd --add-service https --zone=internal --permanent
# firewall-cmd --add-service vnc-server --zone=internal --permanent
# firewall-cmd --add-service ssh --zone=internal --permanent

Gérer le trafic entrant vers une zone en fonction de la source du trafic

Pour autoriser le trafic entrant depuis un nœud expéditeur, utilisez la commande suivante :

# firewall-cmd --add-source=10.1.2.3 --zone=internal --permanent

Gérer le trafic réseau

– Le trafic réseau via les services de la zone utilise les ports de ces services.
– Les ports doivent être ouverts pour accepter le trafic, vous pouvez ouvrir des ports supplémentaires pour l'accès au réseau en spécifiant le numéro de port et le protocole associé.
– Utilisez le "–add-port ” pour autoriser l'accès à des ports spécifiques. Les ports doivent être spécifiés au format :numéro de port/type de port.
– Les types de port peuvent être tcp, udp, sctp ou dccp.
– Assurez-vous que le type et le trafic réseau correspondent.
– Par exemple, pour ajouter les ports 1522, 7001, 5901, 443 et 80 sur tcp et le port 53 sur udp, vous utiliserez la commande suivante :

# firewall-cmd --zone=internal --add-port=1522/tcp --add-port=7001/tcp --add-port=5901/tcp --add-port=443/tcp --add-port=80/tcp --add-port=53/udp --permanent

Recharger la configuration

Une fois toutes les modifications apportées, rechargez la configuration afin que la configuration permanente actuelle devienne la nouvelle configuration d'exécution.

# firewall-cmd --reload

Configuration des zones de liste

Pour lister tout ce qui est ajouté ou activé dans la zone "interne", utilisez la commande suivante :

# firewall-cmd --list-all --zone=internal
internal
  target: default
  icmp-block-inversion: no
  interfaces:
  sources: 10.1.2.3
  services: cockpit dhcpv6-client http https ssh vnc-server
  ports: 1522/tcp 7001/tcp 5901/tcp 443/tcp 80/tcp 53/udp
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules: