Firewalld zu Amazon Linux 2 hinzugefügt (IP-Adressbeschränkungen)

Verwandte URL

• CentOS 7 firewalld Häufig verwendete Befehle --Qiita ← Großartig!
• Drei Möglichkeiten, IP-Adressen in AWS einzuschränken

Benötigt Amazon Linux 2 eine Firewall?

Viele der Artikel, die oben angezeigt werden, wenn Sie mit "amazon linux + firewalld" googeln, sagen: "Amazon Linux 2 verfügt über eine Sicherheitsgruppe und ein Netzwerk-ALC mit entsprechenden Funktionen (und blockiert vor dem Server), also" firewalld " Verwende nicht. "

Es gibt jedoch das folgende Problem, wenn Sie die Verbindung einer bestimmten IP-Adresse verweigern möchten.

• Sicherheitsgruppe: White-List-Methode (kann auf "Zulassen" gesetzt werden. Verweigern kann nicht angegeben werden) --Network ACL: "Ablehnen" kann eingestellt werden. (Auch Erlaubnis). Es gibt eine Obergrenze (20) für die Zahl, die eingestellt werden kann. --ALB ・ ・ ・ Black-List-Methode. Nur HTTP / HTTPS

Wenn Sie die IP auf mehr als 20 beschränken möchten, kommt daher "firewalld" ins Spiel.

Umwelt / Prämisse

• Stand 20. Oktober 2020 / EC2 in der Region Tokio --OS ist "Amazon Linux" und "yum update" abgeschlossen
• Zulässiger Zugriff auf den eingehenden Port der Sicherheitsgruppe, die EC2 zugewiesen ist
• Im Fall dieses Artikels "ssh (22)", "http (80)", "https (443)"

Einführung

Installation

yum install firewalld

Persistenz (wird automatisch gestartet, wenn der Server neu gestartet wird)

systemctl enable firewalld.service

Start

systemctl start firewalld.service

Statusprüfung => OK wenn aktiv

systemctl status firewalld.service

Begrenzte Dienste verfügbar (ssh / http / https)

public {Zur Zone hinzufügen. Es ist eine White-List-Methode. Vergessen Sie nicht, am Ende neu zu laden. (Keine Notwendigkeit für systemctl reload firewall d`)

firewall-cmd --add-service=http  --zone=public --permanent
firewall-cmd --add-service=https --zone=public --permanent
firewall-cmd --add-service=ssh   --zone=public --permanent
firewall-cmd --reload

• --Permanent: Gültig, auch wenn der Server neu gestartet wird

IP-Adressbeschränkungen

Geben Sie die Adresse in der Drop-Zone an. Es ist eine Blacklist-Methode.

firewall-cmd --zone=drop --permanent --add-source=<IP-Adressbereich/CIDR>
firewall-cmd --reload

Funktionsprüfung

--get-active-zone In meiner Umgebung wurde kein Ergebnis zurückgegeben, selbst wenn ich "--get-active-zone" ausgeführt habe. Gleiches gilt für --reload. Ich mache mir Sorgen, aber tatsächlich funktioniert Firewalld immer noch in diesem Zustand. (Es wird jetzt angezeigt, wenn der Server neu gestartet wird (# reboot))

--list-all

Wieder waren die "Schnittstellen" leer und ich war besorgt, aber es funktionierte. (Dies wird auch angezeigt, wenn der Server neu gestartet wird.)

(Unbehagliche) Anzeige vor dem Neustart des Servers

# firewall-cmd --list-all
public
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: ssh dhcpv6-client https http
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

Gültige Dienstbestätigung (firewall-cmd --list-services)

Dies wurde angezeigt, ohne den Server neu zu starten.

# firewall-cmd --list-services
ssh dhcpv6-client https http

• Dhcpv6-client ist ein Dienst, der von Anfang an aktiviert wurde.

Funktionsprüfung

Überprüfen Sie, ob der beabsichtigte Vorgang ausgeführt wird, während Sie der öffentlichen Zone und der Drop-Zone hinzufügen oder daraus löschen. Wenn Sie alles abmelden, nachdem Sie "ssh" aus der Öffentlichkeit entfernt haben, ist es schlecht (nicht wahr?). Achten Sie also darauf, es nicht zu entfernen.