Monthly Archives: Agosto 2018

Nota: questo è un obiettivo d’esame RHCSA 7 e un obiettivo d’esame RHCE 7.

Presentazione

Firewalld è la nuova interfaccia userland in RHEL 7. Sostituisce l’interfaccia iptables e si connette al codice del kernel netfilter. Migliora principalmente la gestione delle regole di sicurezza consentendo le modifiche alla configurazione senza interrompere le connessioni correnti.

Per sapere se Firewalld è in esecuzione, digitare:

# systemctl status firewalld
firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled)
   Active: active (running) since Tue 2014-06-17 11:14:49 CEST; 5 days ago
   ...

o in alternativa:

# firewall-cmd --state
running

Nota: se Firewalld non è in esecuzione, comparirà not running.

Se hai molte interfacce di rete in IPv4, dovrai attivare l’ip forwarding.
Per fare ciò, incolla la seguente riga nel file /etc/sysctl.conf:

net.ipv4.ip_forward = 1

Quindi, attiva la configurazione:

# sysctl -p

Nota: se sei interessato alla configurazione dei parametri del kernel, c’è un tutorial sul comando sysctl.

Sebbene Firewalld sia il modo RHEL 7 per gestire i firewall e offra molti miglioramenti, iptables può ancora essere utilizzato (ma entrambi non dovrebbero essere eseguiti contemporaneamente).

Puoi anche guardare le regole di iptables create da Firewalld con il comando iptables-save.

 

Gestione delle Zone

Inoltre, viene visualizzato un nuovo concetto di zona: tutte le interfacce di rete possono trovarsi nella stessa zona predefinita o divise in diverse in base ai livelli di fiducia definiti. In quest’ultimo caso, questo consente di limitare il traffico in base alla zona di origine (leggi questo articolo su lwn.net per maggiori dettagli).
Nota: senza alcuna configurazione, tutto viene eseguito di default nella zona pubblica (public). Se hai più di un’interfaccia di rete o source, sarai in grado di limitare il traffico tra le zone.

Per ottenere la zona predefinita, digitare:

# firewall-cmd --get-default-zone
public

Per ottenere l’elenco delle zone in cui sono state assegnate le interfacce di rete o le origini, digitare:

# firewall-cmd --get-active-zones
public
  interfaces: eth0

Nota: puoi avere più di una zona attiva alla volta.

Per ottenere l’elenco di tutte le zone disponibili, digitare:

# firewall-cmd --get-zones
block dmz drop external home internal public trusted work

Per cambiare la zona predefinita home in modo permanente, digita:

# firewall-cmd --set-default-zone=home
success

Nota: questa informazione è memorizzata nel file /etc/firewalld/firewalld.conf.

Le interfacce di rete possono essere assegnate a una zona in modo permanente.
Per assegnare in modo permanente l’interfaccia di rete eth0 alla zona interna (un file chiamato internal.xml viene creato nella directory /etc/firewalld/zone), digitare:

# firewall-cmd --permanent --zone=internal --change-interface=eth0
success
# nmcli con show | grep eth0
System eth0  4de55c95-2368-429b-be65-8f7b1a357e3f  802-3-ethernet  eth0
# nmcli con mod "System eth0" connection.zone internal
# nmcli con up "System eth0"
Connection successfully activated (D-Bus active path: /org/freedesktop/NetworkManager/ActiveConnection/1)

Nota 1: questa operazione può essere eseguita anche modificando il file /etc/sysconfig/network-scripts/ifcfg-eth0 e aggiungendo ZONE=internal seguito da # nmcli con reload
Nota 2: ulteriori informazioni sul comando nmcli sono disponibili nella pagina dedicata a nmcli o alla pagina di configurazione IPV4.
Nota3: La release RHEL 7.3 migliora il modo in cui Firewalld gestisce le zone (v0.3.9 -> v0.4.3.2: BZ # 1302802).

Per sapere quale zona è associata all’interfaccia eth0, digita:

# firewall-cmd --get-zone-of-interface=eth0
internal

Per ottenere la configurazione permanente (permanent) della zona pubblica (public), digitare:

# firewall-cmd --permanent --zone=public --list-all
public (default, active)
  interfaces: eth0
  sources: 
  services: dhcpv6-client ssh
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules:

È anche possibile creare nuove zone. Per creare una nuova zona (qui test), digita:

# firewall-cmd --permanent --new-zone=test
success
# firewall-cmd --reload
success

Nota: è possibile creare solo zone permanenti.

Source Management

Una zona può essere collegata a un’interfaccia di rete (vedere sopra) e/o a un indirizzamento di rete (chiamato qui una source).
Qualsiasi pacchetto di rete che entra nello stack di rete è associato a una zona.
L’associazione viene eseguita secondo lo schema seguente:
– il pacchetto proviene da una fonte già associata a una zona? (se sì, è associato a questa zona),
– In caso contrario, il pacchetto proviene da un’interfaccia di rete già associata a una zona? (se sì, è associato a questa zona),
– In caso contrario, il pacchetto è associato alla zona predefinita.

In questo modo, è possibile definire più zone anche su un server con una sola interfaccia di rete!

Attenzione: per ottenere questa funzione, Firewalld si affida a NetworkManager (vedi riferimento). Ciò significa che se si intende arrestare NetworkManager per qualsiasi motivo (ad esempio durante la creazione di un host KVM), sarà necessario arrestare Firewalld e utilizzare invece Iptables!
Nota: con la release RHEL 7.3, la robustezza di Firewalld è stata migliorata rispetto a NetworkManager (vedere i dettagli qui).

Per aggiungere una fonte (qui 192.168.2.0/24) a una zona (qui trusted) in modo permanente, digitare:

# firewall-cmd --permanent --zone=trusted --add-source=192.168.2.0/24
success
# firewall-cmd --reload
success

Nota 1: utilizzare l’opzione —remove-source per eliminare una fonte assegnata in precedenza.
Nota 2: utilizzare l’opzione —change-source per spostare l’origine nella nuova zona specificata.
Nota3: se si desidera aggiungere temporaneamente una fonte a una zona, non utilizzare l’opzione —permanent e non ricaricare (reload) la configurazione del firewall. Se si ricarica la configurazione del firewall, questo annullerà tutte le operazioni.
Nota4: è anche possibile apportare alcune modifiche e quando si desidera la nuova configurazione, è necessario che diventi la configurazione permanente con il comando firewall-cmd –runtime-to-permanent .

Con la versione 7.3 di RHEL, è possibile aggiungere una fonte basata su un indirizzo MAC (qui 00:11:22:33:44:55) a una zona (qui trusted) in modo permanente:

# firewall-cmd --permanent --zone=trusted --add-source=00:11:22:33:44:55
success
# firewall-cmd --reload
success

Con la versione 7.3 di RHEL, puoi creare un ipset (un insieme di indirizzi IP o reti, vedi sotto) e aggiungere una fonte basata su di esso:

# firewall-cmd --permanent --new-ipset=iplist --type=hash:ip
success
# firewall-cmd --reload
success
# firewall-cmd --ipset=iplist --add-entry=192.168.1.11
success
# firewall-cmd --ipset=iplist --add-entry=192.168.1.12
success
# firewall-cmd --permanent--zone=trusted --add-source=ipset:iplist
success
# firewall-cmd --reload
success

Per ottenere l’elenco delle sorgenti attualmente associate a una zona (qui trusted), digitare:

# firewall-cmd --permanent --zone=trusted --list-sources
192.168.2.0/24 00:11:22:33:44:55 ipset:iplist

Nota: rimuovere l’opzione —permanent se si desidera solo visualizzare le impostazioni temporanee.

Per tenere traccia della configurazione (le zone attive (active) sono zone che hanno un legame con un’interfaccia o una sorgente), digitare:

# firewall-cmd --get-active-zones
public
  interfaces: eth0
trusted
  sources: 192.168.2.0/24

Come esempio della gestione dei sorgenti, supponiamo di voler consentire solo connessioni al tuo server da uno specifico indirizzo IP (qui 1.2.3.4/32).

# firewall-cmd --zone=internal --add-service=ssh --permanent
success
# firewall-cmd --zone=internal --add-source=1.2.3.4/32 --permanent
success
# firewall-cmd --zone=public --remove-service=ssh --permanent
success
# firewall-cmd --reload
success

Fonte: sito Web Serverfault.

Con RHEL 7.3, è disponibile una nuova opzione chiamata —info-zone .
Per ottenere il dettaglio di una zona chiamata public, digitare:

# firewall-cmd --info-zone=public
public (active)
target: default
icmp-block-inversion: no
interfaces: eth0
sources:
services: dhcpv6-client ssh
ports:
protocols:
masquerade: no
forward-ports:
sourceports:
icmp-blocks:
rich rules:

Nota: è anche possibile aggiungere l’opzione —permanent.

Service Management

Dopo aver assegnato ciascuna interfaccia di rete a una zona, è ora possibile aggiungere servizi a ciascuna zona.
Per consentire il servizio http in modo permanente nella zona interna(internal), digitare:

# firewall-cmd --permanent --zone=internal --add-service=http
success
# firewall-cmd --reload
success

Nota 1: digitare —remove-service=http per negare il servizio http.
Nota 2: il comando firewall-cmd –reload è necessario per attivare la modifica. Contrariamente all’opzione –complete-reload, le connessioni attuali non vengono interrotte.
Nota3: se si desidera aggiungere temporaneamente un servizio, non utilizzare l’opzione –permanent e non ricaricare la configurazione del firewall. Se si ricarica (reload) la configurazione del firewall, si annulla (cancel) tutta l’operazione.

Se si desidera aggiungere temporaneamente diversi servizi (qui http, https e dns) allo stesso tempo nella zona interna, digitare:

# firewall-cmd --zone=internal --add-service={http,https,dns}
success

Per ottenere l’elenco dei servizi nella zona predefinita, digitare:

# firewall-cmd --list-services
dhcpv6-client ssh

Nota: per ottenere l’elenco dei servizi in una particolare zona, aggiungere l’opzione –zone=.

Con RHEL 7.3, è disponibile una nuova opzione chiamata –-info-service.
Per ottenere alcune informazioni sul servizio ftp, digitare:

# firewall-cmd --info-service=ftp
ftp
  ports: 21/tcp
  protocols:
  source-ports:
  modules: nf_conntrack_ftp
  destination:

Nota: è anche possibile aggiungere l’opzione –permanent.

Configurazione dei servizi firewall

Con il pacchetto Firewalld, la configurazione del firewall dei servizi principali (ftp, httpd, ecc.) Si trova nella directory /usr/lib/firewalld/services. Ma è ancora possibile aggiungerne di nuovi nella directory /etc/firewalld/services. Inoltre, se i file esistono in entrambe le posizioni per lo stesso servizio, il file nella directory /etc/firewalld/services ha la precedenza.

Ad esempio, è il caso del servizio HAProxy. Non è associata alcuna configurazione del firewall.
Creare /etc/firewalld/services/haproxy.xml e incollare le seguenti righe:

<?xml version="1.0" encoding="utf-8"?>
<service>
 <short>HAProxy</short>
 <description>HAProxy load-balancer</description>
 <port protocol="tcp" port="80"/>
</service>

Nota: è possibile utilizzare il comando firewall-cmd –permanent –new-service=haproxy per creare rapidamente uno scheletro di file di configurazione.

Assegna il contesto SELinux corretto e le autorizzazioni del file al file haproxy.xml:

# cd /etc/firewalld/services
# restorecon haproxy.xml
# chmod 640 haproxy.xml

Aggiungi il servizio HAProxy alla zona predefinita in modo permanente e ricaricare la configurazione del firewall:

# firewall-cmd --permanent --add-service=haproxy
success
# firewall-cmd --reload
success

Nota: secondo Bert Van Vreckem, è possibile andare più rapidamente utilizzando la cronologia dei comandi (vedere i dettagli qui):

# firewall-cmd --add-service=haproxy
success
# firewall-cmd --add-service=haproxy --permanent
success

In RHEL 7.0 (Firewalld v0.3.9.7), ci sono 47 servizi configurati: amanda-client, bacula, bacula-client, dhcp, dhcpv6, dhcpv6-client, dns, ftp, high-availability, http, https, imaps, ipp, ipp-client, ipsec, kerberos, kpasswd, ldap, ldaps, libvirt, libvirt-tls, mdns, mountd, ms-wbt, mysql, nfs, ntp, openvpn, pmcd, pmproxy, pmwebapi, pmwebapis, pop3s, postgresql, proxy-dhcp, radius, rpc-bind, samba, samba-client, smtp, ssh, telnet, tftp, tftp-client, transmission-client, vnc-server, wbem-https.
In RHEL 7.1 (Firewalld v0.3.9.11), il servizio RH-Satellite-6 è stato aggiunto.
In RHEL 7.2 (Firewalld v0.3.9.14), freeipa-ldaps, freeipa-ldap, freeipa-replication, iscsi-target, rsyncd e vdsm sono stati aggiunti..
In RHEL 7.3 (Firewalld v0.4.3.2), i servizi amanda-k5-client, ceph, ceph-mon, docker-registry, dropbox-lansync, imap, kadmin, mosh, pop3, privoxy, ptp, pulseaudio, puppetmaster, sane, smtps, snmp, snmptrap, squid, synergy, syslog, syslog-tls, tinc, tor-socks, xmpp-bosh, xmpp-client, xmpp-local e xmpp-server sono stati aggiunti per un totale di  81 servizi.

Gestione delle porte

La gestione delle porte segue lo stesso modello della gestione dei servizi.

Per consentire temporaneamente la porta 443/tcp nella zona interna, digitare:

# firewall-cmd --zone=internal --add-port=443/tcp
success

Nota 1: per rendere permanente la configurazione, aggiungere l’opzione –permanent e ricaricare la configurazione del firewall.
Nota 2: digitare —remove-port=443/tcp per negare la porta.

Per ottenere l’elenco delle porte attualmente aperte nella zona interna, digitare:

# firewall-cmd --zone=internal --list-ports
443/tcp

Nota: per ottenere l’elenco permanente delle porte permanentemente aperto, aggiungere l’opzione –permanent. Qui, non otterrai nulla.

Regole complete (Rich Rules)

Poiché la sintassi utilizzata dalle regole avanzate è in qualche modo difficile da ricordare, tieni presente il comando man firewalld.richlanguage e la sezione Example alla fine.

Ecco il formato di una regola ricca:

# firewall-cmd --add-rich-rule 'rule ...'

Per consentire tutte le connessioni da 192.168.2.2, digitare:

# firewall-cmd --add-rich-rule 'rule family="ipv4" source address="192.168.2.2" log accept'

Nota 1: l’opzione di registro (log) scrive i pacchetti in arrivo nel file /var/log/messages.
Nota 2: utilizzare l’opzione —remove-rich-rule anziché l’opzione —add-rich-rule se si desidera eliminare una regola già esistente.

Per elencare le regole avanzate impostate nella zona predefinita, digitare:

# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources:
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  sourceports:
  icmp-blocks:
  rich rules:
        rule family="ipv4" source address="192.168.2.2" log accept

Regole dirette (Direct Rules)

È ancora possibile impostare regole specifiche utilizzando la modalità diretta (direct) (qui per aprire la porta tcp 9000) che bypassa l’interfaccia Firewalld:

# firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -p tcp --dport 9000 -j ACCEPT
success

Nota 1: questo esempio è stato preso in prestito dal blog di Khosro Taraghi.
Nota 2: utilizzare lo stesso comando con —remove-rule anziché —add-rule per eliminare la regola.
Nota3: la configurazione è temporanea tranne se si aggiunge l’opzione —permanent subito dopo l’opzione —direct .
Nota4: non è necessario ricaricare la configurazione del firewall, tutti i comandi sono attivati ​​direttamente.

Per visualizzare tutte le regole dirette aggiunte, digita:

# firewall-cmd --direct --get-all-rules

Nota 1: per informazioni, la configurazione è scritta nel file /etc/firewalld/direct.xml.
Nota 2: le regole dirette non fanno parte degli obiettivi dell’esame RHCSA / RHCE.

Gestione set IP

Con RHEL 7.3 arriva la possibilità di creare ipset. Un ipset è un insieme di indirizzi IP o reti. Le diverse categorie appartengono a hash:ip o hash:net.

Per creare un IPset IPv4 permanente contenente due indirizzi IP e i pacchetti di rilascio provenienti da questi indirizzi, digitare:

# firewall-cmd --permanent --new-ipset=blacklist --type=hash:ip
success
# firewall-cmd --reload
success
# firewall-cmd --ipset=blacklist --add-entry=192.168.1.11
success
# firewall-cmd --ipset=blacklist --add-entry=192.168.1.12
success
# firewall-cmd --add-rich-rule='rule source ipset=blacklist drop'
success

Nota: Aggiungi –option=family=inet6 per creare un ipv6 ipset.

Per ottenere il contenuto della lista nera (blacklist) ipset, digitare:

# firewall-cmd --info-ipset=blacklist
blacklist
type: hash:ip
options:
entries: 192.168.1.11 192.168.1.12

Per rimuovere la voce 192.168.1.12 dall’ipset della blacklist, digitare:

# firewall-cmd --ipset=blacklist --remove-entry=192.168.1.12
success
# firewall-cmd --ipset=blacklist --get-entries
192.168.1.11

Per creare un IPset IPv4 permanente contenente due reti, digitare:

# firewall-cmd --permanent --new-ipset=netlist
success
# firewall-cmd --reload
success
# firewall-cmd --ipset=netlist --add-entry=192.168.1.0/24
success
# firewall-cmd --ipset=netlist --add-entry=192.168.2.0/24
success
# firewall-cmd --info-ipset=netlist
netlist
 type: hash:net
 options: 
 entries: 192.168.1.0/24 192.168.2.0/24

Per rimuovere l’ipset netlist, digitare:

# firewall-cmd --permanent --delete-ipset=netlist
success
# firewall-cmd --reload
success
# firewall-cmd --get-ipsets
blacklist

È anche possibile scaricare il contenuto di un ipset da un file (opzione –add-entries-from-file=file) o memorizzarlo con il nome ipset in /etc/firewalld/ipsets/ipset.xml
o /usr/lib/firewalld/ipsets/ipset.xml file in base al seguente formato:

<?xml version="1.0" encoding="utf-8"?>
<ipset type="hash:ip">
  <short>My Ipset</short>
  <description>description</description>
  <entry>192.168.1.11</entry>
  <entry>192.168.1.12</entry>
</ipset>

Per caricare questo ipset, digitare:

# firewall-cmd --reload

masquerading

Se il tuo firewall è anche il tuo gateway di rete e non vuoi che tutti conoscano i tuoi indirizzi interni, puoi impostare due zone, una chiamata interna, l’altra esterna, e configurare il masquerading sulla zona esterna. In questo modo, tutti i pacchetti otterranno il tuo indirizzo IP del firewall come indirizzo sorgente.

Per impostare il masquerading sulla zona esterna in modo temporaneo, digita:

# firewall-cmd --zone=external --add-masquerade
success

Nota 1: per rimuovere il masquerading, utilizzare l’opzione –remove-masquerade.
Nota 2: per sapere se il masquerading è attivo in una zona, utilizzare l’opzione –query-masquerade.
Nota3: per ottenere la configurazione permanente, aggiungere l’opzione –permanent e ricaricare la configurazione del firewall.

Port forwarding

Il port forwarding è un modo per inoltrare il traffico di rete in entrata per una porta specifica verso un altro indirizzo interno o una porta alternativa.

Attenzione: il port forwarding richiede masquerading (source). Questo punto è un errore classico commesso durante l’esame RHCE.

Quindi, è necessario abilitare il masquerading prima di qualsiasi altra cosa:

# firewall-cmd --zone=external --add-masquerade
success

Se si desidera che tutti i pacchetti destinati alla porta 22 vengano ora inoltrati temporaneamente alla porta tcp 3753, digitare:

# firewall-cmd --zone=external --add-forward-port=port=22:proto=tcp:toport=3753
success

Nota 1: per rimuovere il port forwarding, utilizzare l’opzione –remove-forward-port.
Nota 2: per sapere se il port forwarding è attivo in una zona, utilizzare l’opzione –query-forward-port.
Nota3: se si desidera rendere permanente la configurazione, aggiungere l’opzione –permanent e ricaricare la configurazione del firewall.

Inoltre, se si desidera definire l’indirizzo IP di destinazione, questa volta in modo permanente, digitare:

# firewall-cmd --permanent --zone=external --add-forward-port=port=22:proto=tcp:toport=3753:toaddr=10.0.0.1
success
# firewall-cmd --reload
success

Moduli speciali

A volte è necessario scaricare moduli specifici. Invece di usare un file rc.local, è meglio avvisare Firewalld attraverso la directory /etc/modules-load.d.
In questo esempio vogliamo aggiungere i moduli ip_nat_ftp e ip_conntrack_ftp per seguire le connessioni ftp.
Abbiamo solo bisogno di scegliere un nome di file (qui firewall_ftp.conf) e digitare queste istruzioni:

# echo ip_nat_ftp > /etc/modules-load.d/firewall_ftp.conf
# echo ip_conntrack_ftp >> /etc/modules-load.d/firewall_ftp.conf

Fonte: sito Web StackExchange.

Configurazione offline

In alcuni casi (installazioni tramite Anaconda o Kickstart, ad esempio), è necessario impostare le regole del firewall quando Firewalld non è in esecuzione. Il comando firewall-offline-cmd è stato appena creato per questo scopo.
Ad esempio, per aprire la porta tcp 22, devi digitare il file /etc/sysconfig/iptables:

-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

Invece, ora puoi eseguire il seguente comando:

# firewall-offline-cmd --direct --add-rule ipv4 filter INPUT 0 -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

Backup di configurazione

Per memorizzare la configurazione corrente in file, digitare:

# iptables -S > firewalld_rules_ipv4
# ip6tables -S > firewalld_rules_ipv6

Suggerimenti per il debug

Per capire meglio come funziona Firewalld, assegnare il valore ‘–debug‘ alla variabile FIREWALLD_ARGS nel file /etc/sysconfig/firewalld:

# firewalld command line args
# possile values: --debug
FIREWALLD_ARGS='--debug'

Riavvia il daemon Firewalld:

# systemctl restart firewalld

Nota: i messaggi verranno scritti nel file /var/log/firewalld.

Inoltre, con la versione 7.3 di RHEL arriva la direttiva LogDenied nel file /etc/firewalld/firewalld.conf.
Questa direttiva aggiunge le regole di registrazione subito prima del rifiuto e rilascia le regole nelle catene INPUT, FORWARD e OUTPUT per le regole predefinite e anche le regole di rifiuto e rilascio finali nelle zone.
I valori possibili sono: all, unicast, broadcast, multicast e off (valore predefinito).

Ricarica la configurazione di Firewalld:

# firewall-cmd --reload

Nota: i messaggi verranno scritti nel file /var/log/messages. Se vuoi anche che i messaggi vengano scritti in un file chiamato /var/log/custom.log, modifica il file /etc/rsyslog.conf, aggiungi la riga kern.warning /var/log/custom.log e riavvia la configurazione di rsyslog con # systemctl restart rsyslog

Fonti: RHEL7 Security Guide, progetto wiki di Fedora.