[LINUX] Autoriser firewalld à ssh uniquement des adresses IP spécifiques

introduction

Il y a des articles qui tournent mal, mais essayer de le faire était assez compliqué, je vais donc me concentrer sur ce sujet.

environnement

• CentOS8

procédure

Activer le service de pare-feu

systemctl enable firewalld.service

Démarrez le service de pare-feu

systemctl start firewalld.service

Afficher les services autorisés

firewall-cmd --list-services --zone=public

ssh est autorisé par défaut, mais cette fois, il sera limité alors supprimez-le du service

firewall-cmd --remove-service=ssh --zone=public --permanent

Seule une adresse IP spécifique (192.168.11.29 ici) est autorisée par la règle riche

firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="192.168.11.29" port protocol="tcp" port="22" accept"

Recharger

firewall-cmd --reload

Vérifier les paramètres

[root@localhost ~]# firewall-cmd --list-all --zone=public
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: enp0s3
  sources:
  services: cockpit dhcpv6-client
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
        rule family="ipv4" source address="192.168.11.29" port port="22" protocol="tcp" accept

Vérifier par scan de port depuis un autre terminal

Scannez le port avec nmap à partir des terminaux autorisés à se connecter et des terminaux non autorisés à se connecter, et confirmez que le numéro 22 ne peut être vu qu'à partir des terminaux autorisés à se connecter.

[kimisyo@localhost ~]$ nmap -p 1-500 192.168.11.24
Starting Nmap 7.70 ( https://nmap.org ) at 2020-10-04 12:06 JST
Nmap scan report for 192.168.11.24
Host is up (0.62s latency).
Not shown: 498 filtered ports
PORT    STATE SERVICE
22/tcp  open  ssh

Nmap done: 1 IP address (1 host up) scanned in 38.56 seconds

référence

• https://www.atmarkit.co.jp/ait/articles/1602/18/news019_4.html
• https://qiita.com/MATO/items/e8ae2b528fe9ddc4c25a