เมื่อคุณเข้าสู่ระบบเซิร์ฟเวอร์ส่วนตัวเสมือนใหม่เป็นครั้งแรก คุณจะต้องดำเนินการหลายขั้นตอนที่จะเพิ่มความปลอดภัย ใน คู่มือเล่มนี้เราจะพูดถึงวิธีสร้างผู้ใช้ใหม่ ให้สิทธิ์ที่เหมาะสมแก่ผู้ใช้ และกำหนดค่า SSH

1: เข้าสู่ระบบในฐานะผู้ใช้รูท

เมื่อคุณมีที่อยู่ IP และรหัสผ่านรูทแล้ว ให้เข้าสู่ระบบเซิร์ฟเวอร์ในฐานะผู้ใช้หลัก (รูท) หากต้องการทำสิ่งนี้ ให้ใช้คำสั่ง (แทนที่ IP ที่จัดสรรด้วยที่อยู่ IP ของคุณ):

สช [ป้องกันอีเมล]

เทอร์มินัลจะส่งคืนสิ่งที่ต้องการ:

ไม่สามารถสร้างความถูกต้องของโฮสต์ "111.22.33.444 (111.22.33.444)" ได้
ลายนิ้วมือคีย์ ECDSA คือ 79:95:46:1a:ab:37:11:8e:86:54:36:38:bb:3c:fa:c0
คุณแน่ใจหรือไม่ว่าต้องการเชื่อมต่อต่อ (ใช่/ไม่ใช่)

เลือกใช่และป้อนรหัสผ่านรูทของคุณ

บันทึก: ไม่แนะนำให้ใช้บัญชีรูทเป็นประจำ คู่มือนี้จะช่วยคุณสร้างผู้ใช้รายอื่นสำหรับงานถาวร

2: เปลี่ยนรหัสผ่านของคุณ

บน ในขณะนี้มีการใช้รหัสผ่านรูท ตั้งค่าตามค่าเริ่มต้น และได้รับหลังจากลงทะเบียนเซิร์ฟเวอร์ สิ่งแรกที่ต้องทำคือแทนที่ด้วยรหัสผ่านของคุณเอง

เกี่ยวกับรหัสผ่านที่คุณตั้งไว้ ระบบเซนโอเอสระมัดระวังมาก ดังนั้นหลังจากป้อนรหัสผ่านใหม่แล้ว การแจ้งเตือน BAD PASSWORD อาจปรากฏขึ้น คุณสามารถติดตั้งเพิ่มเติมได้ รหัสผ่านที่ซับซ้อนหรือเพิกเฉยต่อข้อความ: ในความเป็นจริง CentOS จะยอมรับแม้จะง่ายเกินไปหรือ รหัสผ่านสั้นแม้ว่าจะแนะนำให้ใช้ชุดค่าผสมที่ซับซ้อนกว่านี้ก็ตาม

3: สร้างผู้ใช้ใหม่

หลังจากเข้าสู่ระบบเซิร์ฟเวอร์และเปลี่ยนรหัสผ่านรูท คุณจะต้องเข้าสู่ระบบ VPS ในฐานะรูทอีกครั้ง ส่วนนี้จะสาธิตวิธีการสร้างผู้ใช้ใหม่และตั้งรหัสผ่าน

ดังนั้นให้สร้างผู้ใช้ใหม่ เมื่อต้องการทำเช่นนี้ ให้ใช้คำสั่งต่อไปนี้ (แทนที่การสาธิตด้วยชื่อผู้ใช้ของคุณ):

การสาธิตผู้ใช้เพิ่มเติม

ตอนนี้สร้างรหัสผ่านสำหรับผู้ใช้รายนี้ (แทนที่การสาธิตด้วยชื่อผู้ใช้ที่คุณเพิ่งสร้างขึ้นอีกครั้ง):

การสาธิตรหัสผ่าน

4: สิทธิ์รูท

ในขณะนี้ สิทธิ์ของผู้ดูแลระบบทั้งหมดเป็นของผู้ใช้รูท เพื่อให้สามารถใช้บัญชีใหม่ได้อย่างถาวร คุณจะต้องโอนสิทธิ์รูททั้งหมดให้กับผู้ใช้ใหม่ (สาธิต)

หากต้องการทำงานที่มีสิทธิ์ใช้งานรูท คุณต้องเริ่มคำสั่งด้วย sudo วลีนี้มีประโยชน์ด้วยเหตุผลสองประการ: 1) ปกป้องระบบจากข้อผิดพลาดในการทำลายที่ทำโดยผู้ใช้; 2) เก็บคำสั่งทั้งหมดที่เรียกใช้ด้วย sudo ไว้ในไฟล์ /var/log/secure ซึ่งสามารถดูได้ในภายหลัง

ตอนนี้คุณต้องเปลี่ยนการตั้งค่า sudo ของคุณ สำหรับการใช้งานนี้ โปรแกรมแก้ไขข้อความค่าเริ่มต้นของ CentOS ซึ่งเรียกว่า vi:

ค้นหาส่วนข้อกำหนดสิทธิ์ผู้ใช้ ซึ่งมีลักษณะดังนี้:

#ข้อกำหนดสิทธิพิเศษของผู้ใช้
รูตทั้งหมด = (ทั้งหมด) ทั้งหมด

หลังจากบรรทัดที่มีสิทธิ์รูท ให้ป้อน บรรทัดถัดไปซึ่งจะโอนสิทธิ์ทั้งหมดให้กับผู้ใช้ใหม่ (เพื่อเริ่มพิมพ์ใน vi ให้กด i):

สาธิตทั้งหมด = (ทั้งหมด) ทั้งหมด

ในการสิ้นสุดการป้อนข้อความ ให้กด Esc; จากนั้นพิมพ์:, wq, Enter เพื่อบันทึกและปิดไฟล์

5: ตั้งค่า SSH (ไม่บังคับ)

ตอนนี้เราจำเป็นต้องรักษาความปลอดภัยเซิร์ฟเวอร์ ส่วนเพิ่มเติมนี้จะบอกวิธีปกป้องเซิร์ฟเวอร์ของคุณโดยทำให้กระบวนการอนุญาตยากขึ้น

เปิดไฟล์การกำหนดค่า:

sudo vi /etc/ssh/sshd_config.php

ค้นหาส่วนต่อไปนี้และทำการเปลี่ยนแปลงตามนั้น:

พอร์ต 25000
หมายเลข PermitRootLogin

ท่าเรือ: แม้ว่าพอร์ตเริ่มต้นคือ 22 แต่คุณสามารถเปลี่ยนเป็นหมายเลขใดก็ได้ในช่วง 1025 ถึง 65536 คู่มือนี้ใช้พอร์ต SSHD 25000 โปรดทราบ: หมายเลขใหม่พอร์ตจะต้องได้รับการจดจำ/จดบันทึกไว้ เนื่องจากจะต้องเข้าสู่ระบบเซิร์ฟเวอร์ผ่าน SSH

อนุญาตการรูทเข้าสู่ระบบ: เปลี่ยนใช่เป็นไม่ใช่เพื่อปิดใช้งานการเข้าสู่ระบบรูท ตอนนี้คุณสามารถเข้าสู่เซิร์ฟเวอร์โดยใช้ผู้ใช้ใหม่เท่านั้น

เพื่อให้ SSH สามารถใช้งานได้เท่านั้น ผู้ใช้เฉพาะเพิ่มบรรทัดนี้ที่ด้านล่างของเอกสาร (แทนที่การสาธิตด้วยชื่อผู้ใช้ของคุณ):

การสาธิต AllowUsers

จากนั้นบันทึกการเปลี่ยนแปลงและปิดไฟล์

รีสตาร์ทสสส

เพื่อเปิดใช้งาน มีการเปลี่ยนแปลงให้เริ่มบริการ SSHD ใหม่:

sudo systemctl โหลด sshd.service ใหม่

หากต้องการทดสอบการตั้งค่าใหม่ (อย่าเพิ่งออกจากระบบบัญชีรูท) ให้เปิดเทอร์มินัลแล้วลงชื่อเข้าใช้เซิร์ฟเวอร์ในฐานะผู้ใช้ใหม่ (อย่าลืมป้อนที่อยู่ IP และพอร์ตที่ถูกต้อง):

ssh -p 25000 การสาธิต @ 111.22.33.444

การแจ้งเตือนควรปรากฏขึ้น:

โซน

ไฟร์วอลล์ดีมอนจัดการกลุ่มกฎโดยใช้โซนที่เรียกว่า

โซนคือชุดกฎที่ควบคุมการรับส่งข้อมูลตามระดับความน่าเชื่อถือในเครือข่ายเฉพาะ โซนถูกกำหนดให้กับอินเทอร์เฟซเครือข่ายและควบคุมพฤติกรรมของไฟร์วอลล์

คอมพิวเตอร์ที่เชื่อมต่อกับเครือข่ายต่างๆ บ่อยครั้ง (เช่น แล็ปท็อป) สามารถใช้โซนเพื่อเปลี่ยนชุดกฎโดยขึ้นอยู่กับสภาพแวดล้อม เช่นเมื่อเชื่อมต่อเข้ากับ เครือข่ายสาธารณะ ไฟร์วอลล์ไร้สายสามารถบังคับใช้กฎที่เข้มงวดยิ่งขึ้นและคลายข้อจำกัดบนเครือข่ายในบ้านได้

Firewalld มีโซนดังต่อไปนี้:

• drop: ระดับความน่าเชื่อถือเครือข่ายต่ำสุด ทั้งหมด การจราจรขาเข้ารีเซ็ตโดยไม่มีการตอบสนอง รองรับเฉพาะการเชื่อมต่อขาออกเท่านั้น
• บล็อก: โซนนี้คล้ายกับโซนก่อนหน้า แต่คำขอขาเข้าจะถูกทิ้งพร้อมกับข้อความ icmp-host-prohibited หรือ icmp6-adm-prohibited
• สาธารณะ: โซนนี้แสดงถึงเครือข่ายสาธารณะที่ไม่น่าเชื่อถือ แต่อนุญาตการเชื่อมต่อขาเข้าแบบส่วนตัว
• ภายนอก: โซน เครือข่ายภายนอก- รองรับการปลอมแปลง NAT ดังนั้นเครือข่ายภายในจึงยังคงปิดอยู่แต่ยังคงสามารถเข้าถึงได้
• ภายใน: ด้านหลังโซนภายนอก เครือข่ายภายใน- คอมพิวเตอร์ในโซนนี้สามารถเชื่อถือได้ มีบริการเพิ่มเติม
• dmz: ใช้สำหรับคอมพิวเตอร์ที่อยู่ใน DMZ (คอมพิวเตอร์แยกที่ไม่สามารถเข้าถึงส่วนที่เหลือของเครือข่าย) รองรับการเชื่อมต่อขาเข้าเพียงบางส่วนเท่านั้น
• งาน: โซนเครือข่ายงาน เครื่องส่วนใหญ่บนเครือข่ายสามารถเชื่อถือได้ มีบริการเพิ่มเติม
• บ้าน: โซนเครือข่ายในบ้าน สภาพแวดล้อมสามารถเชื่อถือได้ แต่รองรับเท่านั้น ผู้ใช้กำหนดการเชื่อมต่อขาเข้า
• เชื่อถือได้: ทุกเครื่องบนเครือข่ายสามารถเชื่อถือได้

กำลังบันทึกกฎ

กฎไฟร์วอลล์อาจเป็นแบบถาวรหรือชั่วคราวก็ได้ หากมีกฎใดปรากฏขึ้นหรือมีการเปลี่ยนแปลงในชุด ลักษณะการทำงานปัจจุบันของไฟร์วอลล์จะเปลี่ยนไปทันที อย่างไรก็ตาม หลังจากรีบูต การเปลี่ยนแปลงทั้งหมดจะสูญหายไปหากไม่ได้รับการบันทึก

คำสั่ง firewall-cmd ส่วนใหญ่สามารถใช้แฟล็ก --permanent ซึ่งจะบันทึกกฎ หลังจากนั้นจะถูกใช้อย่างถาวร

เปิดใช้งานไฟร์วอลล์

ก่อนอื่นคุณต้องเปิดใช้งาน daemon ไฟล์หน่วย systemd เรียกว่า firewalld.service หากต้องการสตาร์ท daemon ให้ป้อน

sudo systemctl เริ่ม firewalld.service

ตรวจสอบให้แน่ใจว่าบริการกำลังทำงานอยู่:

ไฟร์วอลล์-cmd --state
วิ่ง

ขณะนี้ไฟร์วอลล์เปิดใช้งานและทำงานตามการกำหนดค่าเริ่มต้นแล้ว

เปิดใช้งานบริการแล้ว แต่จะไม่เริ่มทำงานโดยอัตโนมัติกับเซิร์ฟเวอร์ เพื่อหลีกเลี่ยงการบล็อกตัวเองบนเซิร์ฟเวอร์ของคุณเองโดยไม่ได้ตั้งใจ ขั้นแรกให้สร้างชุดกฎแล้วกำหนดค่าการทำงานอัตโนมัติ

กฎไฟร์วอลล์เริ่มต้น

ดูกฎเริ่มต้น

หากต้องการค้นหาว่าโซนใดเป็นค่าเริ่มต้น ให้ป้อน:

ไฟร์วอลล์-cmd --get-default-zone
สาธารณะ

ในขณะนี้ ไฟร์วอลล์ยังไม่ได้รับคำแนะนำใดๆ เกี่ยวกับโซนอื่นๆ และไม่มีอินเทอร์เฟซที่เชื่อมโยงกับโซนอื่นๆ ดังนั้นขณะนี้โซนสาธารณะจึงเป็นโซนเริ่มต้นและยังเป็นโซนที่ใช้งานอยู่เพียงโซนเดียวเท่านั้น

หากต้องการรับรายการโซนที่ใช้งานอยู่ ให้ป้อน:

สาธารณะ
อินเทอร์เฟซ: eth0 eth1

มีอินเทอร์เฟซเครือข่ายสองแบบที่เกี่ยวข้องกับโซนสาธารณะ: eth0 และ eth1 อินเทอร์เฟซที่เชื่อมโยงกับโซนจะทำงานตามกฎของโซนนั้น

หากต้องการดูว่าโซนใช้กฎใดเป็นค่าเริ่มต้น ให้ป้อน:

ไฟร์วอลล์-cmd --รายการทั้งหมด
สาธารณะ (ค่าเริ่มต้น ใช้งานอยู่)
อินเทอร์เฟซ: eth0 eth1
แหล่งที่มา:
บริการ: ssh ไคลเอนต์ dhcpv6
พอร์ต:
สวมหน้ากาก: ไม่
ส่งต่อพอร์ต:
icmp-บล็อก:
กฎที่หลากหลาย:

ตอนนี้คุณรู้แล้วว่า:

• สาธารณะเป็นโซนเริ่มต้นและเป็นโซนที่ใช้งานอยู่เพียงโซนเดียว
• อินเทอร์เฟซ eth0 และ eth1 ถูกผูกไว้กับมัน
• รองรับการรับส่งข้อมูล DHCP (การกำหนดที่อยู่ IP) และ SSH (การดูแลระบบระยะไกล)

โซนไฟร์วอลล์อื่นๆ

ตอนนี้คุณควรทำความคุ้นเคยกับโซนอื่นแล้ว

หากต้องการรับรายการโซนที่ใช้ได้ทั้งหมด ให้ป้อน:

ไฟร์วอลล์-cmd --get-zones

หากต้องการรับพารามิเตอร์สำหรับโซนเฉพาะ ให้เพิ่มแฟล็ก --zone= ให้กับคำสั่ง

ไฟร์วอลล์-cmd --zone=home --list-all
บ้าน
อินเทอร์เฟซ:
แหล่งที่มา:
บริการ: dhcpv6-client ipp-client mdns samba-client ssh
พอร์ต:
สวมหน้ากาก: ไม่
ส่งต่อพอร์ต:
icmp-บล็อก:
กฎที่หลากหลาย:

หากต้องการแสดงรายการคำจำกัดความของโซนที่มีอยู่ทั้งหมด ให้เพิ่มตัวเลือก --list-all-zones สำหรับข้อมูลเพิ่มเติม รับชมได้สะดวกผลลัพธ์สามารถส่งไปยังเพจเจอร์ได้:

ไฟร์วอลล์-cmd --รายการโซนทั้งหมด | น้อย

การตั้งค่าโซนอินเทอร์เฟซ

เริ่มแรก อินเทอร์เฟซเครือข่ายทั้งหมดถูกกำหนดให้กับโซนเริ่มต้น

การเปลี่ยนโซนอินเทอร์เฟซสำหรับหนึ่งเซสชัน

หากต้องการย้ายอินเทอร์เฟซไปยังโซนอื่นสำหรับหนึ่งเซสชัน ให้ใช้ตัวเลือก --zone= และ --change-interface=

ตัวอย่างเช่น หากต้องการย้าย eth0 ไปยังโซนหลัก คุณจะต้องป้อน:

sudo firewall-cmd --zone=home --change-interface=eth0
ความสำเร็จ

บันทึก: เมื่อถ่ายโอนอินเทอร์เฟซไปยังโซนอื่น คุณต้องคำนึงว่าสิ่งนี้อาจส่งผลต่อการทำงานของบริการบางอย่าง ตัวอย่างเช่น โซนหลักรองรับ SSH ดังนั้นการเชื่อมต่อจากบริการนี้จะไม่หลุด แต่บางโซนจะรีเซ็ตการเชื่อมต่อทั้งหมด รวมถึง SSH ด้วย จากนั้นคุณอาจล็อกตัวเองออกจากเซิร์ฟเวอร์ของคุณเองได้

เพื่อให้แน่ใจว่าอินเทอร์เฟซเชื่อมโยงกับโซนใหม่ ให้ป้อน:

ไฟร์วอลล์-cmd --get-active-zones
บ้าน
อินเทอร์เฟซ: eth0
สาธารณะ
อินเทอร์เฟซ: eth1

หลังจากรีบูตไฟร์วอลล์ อินเทอร์เฟซจะถูกผูกกลับไปยังโซนเริ่มต้น

sudo systemctl รีสตาร์ท firewalld.service
ไฟร์วอลล์-cmd --get-active-zones
สาธารณะ
อินเทอร์เฟซ: eth0 eth1

การเปลี่ยนโซนอินเทอร์เฟซอย่างถาวร

หากไม่มีการระบุโซนอื่นในการตั้งค่าอินเทอร์เฟซ หลังจากรีสตาร์ทไฟร์วอลล์ อินเทอร์เฟซจะถูกผูกกลับไปยังโซนเริ่มต้น บน CentOS การกำหนดค่าดังกล่าวจะถูกจัดเก็บไว้ในไดเร็กทอรี /etc/sysconfig/network-scripts ในไฟล์รูปแบบ ifcfg-interface

หากต้องการกำหนดโซนของอินเทอร์เฟซ ให้เปิดไฟล์การกำหนดค่าของอินเทอร์เฟซนั้น เช่น:

ที่ท้ายไฟล์ ให้เพิ่มตัวแปร ZONE= และระบุโซนอื่นเป็นค่า เช่น home:

. . .
DNS1=2001:4860:4860::8844
DNS2=2001:4860:4860::8888
DNS3=8.8.8.8
โซน=บ้าน

บันทึกและปิดไฟล์

หากต้องการอัปเดตการตั้งค่า ให้รีสตาร์ทบริการเครือข่ายและไฟร์วอลล์:

sudo systemctl รีสตาร์ท network.service
sudo systemctl รีสตาร์ท firewalld.service

หลังจากรีสตาร์ท อินเทอร์เฟซ eth0 จะถูกกำหนดให้กับโซนหลัก

ไฟร์วอลล์-cmd --get-active-zones
บ้าน
อินเทอร์เฟซ: eth0
สาธารณะ
อินเทอร์เฟซ: eth1

การตั้งค่าโซนเริ่มต้น

คุณยังสามารถเลือกโซนเริ่มต้นอื่นได้

เมื่อต้องการทำเช่นนี้ ให้ใช้พารามิเตอร์ --set-default-zone= หลังจากนี้ อินเทอร์เฟซทั้งหมดจะถูกกำหนดให้กับโซนอื่น:

sudo firewall-cmd --set-default-zone=home
บ้าน
อินเทอร์เฟซ: eth0 eth1

การสร้างกฎการสมัคร

การเพิ่มบริการให้กับโซน

วิธีที่ง่ายที่สุดคือการเพิ่มบริการหรือพอร์ตไปยังโซนที่ไฟร์วอลล์ใช้ ดูบริการที่มี:

ไฟร์วอลล์-cmd --get-services
RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp ความพร้อมใช้งานสูง http https imaps ipp ipp-ไคลเอนต์ ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp รัศมี rpc-bind samba samba-ไคลเอนต์ smtp ssh telnet tftp-ไคลเอนต์ ส่งลูกค้า vnc-เซิร์ฟเวอร์ wbem-https

บันทึก: ข้อมูลเพิ่มเติมข้อมูลเกี่ยวกับบริการเฉพาะแต่ละรายการสามารถพบได้ในไฟล์ .xml ในไดเร็กทอรี /usr/lib/firewalld/services ตัวอย่างเช่น ข้อมูลเกี่ยวกับบริการ SSH จะถูกจัดเก็บไว้ใน /usr/lib/firewalld/services/ssh.xml และมีลักษณะดังนี้:

สสส

หากต้องการเปิดใช้งานการสนับสนุนบริการในโซนใดโซนหนึ่ง ให้ใช้ตัวเลือก --add-service= คุณสามารถระบุโซนเป้าหมายได้โดยใช้ตัวเลือก --zone= ตามค่าเริ่มต้น การเปลี่ยนแปลงเหล่านี้จะมีผลในหนึ่งเซสชัน หากต้องการบันทึกการเปลี่ยนแปลงและใช้งานอย่างถาวร ให้เพิ่มแฟล็ก --permanent

ตัวอย่างเช่นเพื่อเริ่มเว็บเซิร์ฟเวอร์เพื่อให้บริการ การรับส่งข้อมูล HTTPขั้นแรกคุณต้องเปิดใช้งานการสนับสนุนการรับส่งข้อมูลนี้ในโซนสาธารณะสำหรับหนึ่งเซสชัน:

sudo firewall-cmd --zone=public --add-service=http

หากจำเป็นต้องเพิ่มบริการในโซนเริ่มต้น คุณสามารถละเว้นแฟล็ก --zone= ได้

ตรวจสอบว่าการดำเนินการสำเร็จ:

ไฟร์วอลล์-cmd --zone=public --list-services
dhcpv6-ไคลเอนต์ http ssh

ทดสอบบริการและไฟร์วอลล์ หากทุกอย่างทำงานอย่างถูกต้อง คุณสามารถแก้ไขชุดกฎถาวรและเพิ่มกฎเพื่อรองรับบริการนี้ได้

sudo firewall-cmd --zone=public --permanent --add-service=http

หากต้องการดูรายการกฎถาวร ให้ป้อน:

sudo firewall-cmd --zone=public --permanent --list-services
dhcpv6-ไคลเอนต์ http ssh

โซนสาธารณะรองรับ HTTP และพอร์ต 80 อย่างถาวรแล้ว หากเว็บเซิร์ฟเวอร์สามารถรองรับการรับส่งข้อมูล SSL/TLS คุณสามารถเพิ่มบริการ https ได้ (สำหรับเซสชันเดียวหรือชุดกฎถาวร):

sudo firewall-cmd --zone=public --add-service=https
sudo firewall-cmd --zone=public --permanent --add-service=https

จะทำอย่างไรหากไม่มีบริการที่จำเป็น?

ไฟร์วอลล์ไฟร์วอลล์มีบริการทั่วไปหลายอย่างตามค่าเริ่มต้น อย่างไรก็ตาม แอปพลิเคชันบางตัวต้องการบริการที่ไฟร์วอลล์ไม่รองรับ ในกรณีนี้ คุณสามารถดำเนินการได้สองวิธี

วิธีที่ 1: การตั้งค่าพอร์ต

วิธีที่ง่ายที่สุดในการทำเช่นนี้คือการเปิดพอร์ตแอปพลิเคชันในโซนไฟร์วอลล์ที่ต้องการ คุณเพียงแค่ต้องระบุพอร์ตหรือช่วงของพอร์ตและโปรโตคอล

ตัวอย่างเช่น ควรเพิ่มแอปพลิเคชันที่ใช้พอร์ต 5000 และโปรโตคอล TCP ไปยังโซนสาธารณะ หากต้องการเปิดใช้งานการสนับสนุนแอปพลิเคชันสำหรับเซสชันด้านล่าง ให้ใช้พารามิเตอร์ --add-port= และระบุโปรโตคอล tcp หรือ udp

sudo firewall-cmd --zone=public --add-port=5000/tcp

ตรวจสอบว่าการดำเนินการสำเร็จ:

ไฟร์วอลล์-cmd --รายการพอร์ต
5,000/ทีซีพี

คุณยังสามารถระบุช่วงพอร์ตตามลำดับโดยแยกพอร์ตแรกและพอร์ตสุดท้ายในช่วงด้วยเครื่องหมายขีดกลาง ตัวอย่างเช่น หากแอปพลิเคชันของคุณใช้พอร์ต UDP 4990-4999 หากต้องการเพิ่มลงในโซนสาธารณะ คุณจะต้องป้อน:

sudo firewall-cmd --zone=public --add-port=4990-4999/udp

หลังจากการทดสอบ คุณสามารถเพิ่มกฎเหล่านี้ลงไปได้ การตั้งค่าถาวรไฟร์วอลล์

sudo firewall-cmd --zone=public --permanent --add-port=5000/tcp
sudo firewall-cmd --zone=public --permanent --add-port=4990-4999/udp
sudo firewall-cmd --zone=public --permanent --list-ports
ความสำเร็จ
ความสำเร็จ
4990-4999/udp 5000/tcp

วิธีที่ 2: การกำหนดบริการ

การเพิ่มพอร์ตลงในโซนเป็นเรื่องง่าย แต่ถ้าคุณมีแอปพลิเคชันดังกล่าวจำนวนมาก อาจทำให้ยากต่อการติดตามว่าแต่ละพอร์ตมีไว้เพื่ออะไร เพื่อหลีกเลี่ยงสถานการณ์นี้ คุณสามารถกำหนดบริการแทนพอร์ตได้

บริการเป็นเพียงคอลเลกชันของพอร์ตที่มีชื่อและคำอธิบายเฉพาะ บริการช่วยให้จัดการการตั้งค่าได้ง่ายขึ้น แต่มีความซับซ้อนมากกว่าพอร์ต

ขั้นแรก คุณต้องคัดลอกสคริปต์ที่มีอยู่จากไดเร็กทอรี /usr/lib/firewalld/services ไปยังไดเร็กทอรี /etc/firewalld/services (นี่คือที่ที่ไฟร์วอลล์ค้นหาการตั้งค่าที่ไม่ได้มาตรฐาน)

ตัวอย่างเช่น คุณสามารถคัดลอกข้อกำหนดของบริการ SSH และใช้เพื่อกำหนดบริการตัวอย่างแบบมีเงื่อนไขได้ ชื่อสคริปต์ต้องตรงกับชื่อบริการและมีนามสกุล .xml

sudo cp /usr/lib/firewalld/services/service.xml /etc/firewalld/services/example.xml

แก้ไขไฟล์ที่คัดลอก

sudo นาโน /etc/firewalld/services/example.xml

ไฟล์นี้มีคำจำกัดความ SSH:

สสส
Secure Shell (SSH) เป็นโปรโตคอลสำหรับการเข้าสู่ระบบและดำเนินการคำสั่งบนเครื่องระยะไกล ให้การสื่อสารที่มีการเข้ารหัสที่ปลอดภัย หากคุณวางแผนที่จะเข้าถึงเครื่องของคุณจากระยะไกลผ่าน SSH ผ่านอินเทอร์เฟซไฟร์วอลล์ ให้เปิดใช้งานตัวเลือกนี้ คุณต้องติดตั้งแพ็คเกจ openssh-server เพื่อให้ตัวเลือกนี้มีประโยชน์

คำจำกัดความของบริการส่วนใหญ่คือข้อมูลเมตา คุณสามารถเปลี่ยนชื่อย่อของบริการในแท็กได้ - นี่คือชื่อบริการที่มนุษย์สามารถอ่านได้ คุณต้องเพิ่มคำอธิบายของบริการด้วย การเปลี่ยนแปลงเดียวที่จะส่งผลต่อการทำงานของบริการคือการเปลี่ยนแปลงหมายเลขพอร์ตและโปรโตคอล

กลับไปที่บริการตัวอย่าง สมมติว่าเขาขอให้เปิด พอร์ต TCP 7777 และ พอร์ต UDP 8888 คำจำกัดความจะมีลักษณะดังนี้:

บริการตัวอย่าง
นี่เป็นเพียงบริการตัวอย่างเท่านั้น อาจจะไม่ควรใช้กับระบบจริง

บันทึกและปิดไฟล์

รีสตาร์ทไฟร์วอลล์:

sudo firewall-cmd --reload

บริการจะปรากฏในรายการบริการที่มี:

ไฟร์วอลล์-cmd --get-services
rh-satellite-6 Amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ตัวอย่าง ftp ความพร้อมใช้งานสูง http https IMAPS ipp ipp-client ipsec kerberos kpasswd ldap ldaps ldaps ldaps ldaps ldaps ldaps ldaps พร็อกซี pmwebapi pmwebapis pop3s postgresql พร็อกซี-dhcp รัศมี rpc-bind แซมบ้า แซมบ้าไคลเอนต์ smtp ssh telnet tftp tftp-ไคลเอนต์ ส่งไคลเอนต์ vnc-เซิร์ฟเวอร์ wbem-https

การสร้างโซน

ไฟร์วอลล์มีโซนที่กำหนดไว้ล่วงหน้ามากมาย ซึ่งโดยส่วนใหญ่ก็เพียงพอที่จะทำงานให้สำเร็จได้ แต่ในบางสถานการณ์จำเป็นต้องสร้างโซนแบบกำหนดเอง

ตัวอย่างเช่น คุณสามารถสร้างโซนเว็บสาธารณะสำหรับเว็บเซิร์ฟเวอร์ และโซน DNS ส่วนตัวสำหรับบริการ DNS

เมื่อคุณสร้างโซน คุณจะต้องเพิ่มโซนนั้นลงในการตั้งค่าถาวรของไฟร์วอลล์

ลองสร้างโซน publicweb และ privateDNS:

sudo firewall-cmd --ถาวร --new-zone=publicweb
sudo firewall-cmd --ถาวร --new-zone=privateDNS

ตรวจสอบว่ามีโซนอยู่:

sudo firewall-cmd --permanent --get-zones

โซนใหม่จะไม่สามารถใช้ได้ในเซสชั่นปัจจุบัน:

ไฟร์วอลล์-cmd --get-zones
บล็อก dmz วางงานภายนอกบ้านภายในสาธารณะที่เชื่อถือได้

หากต้องการเข้าถึงโซนใหม่ คุณต้องรีสตาร์ทไฟร์วอลล์:

sudo firewall-cmd --reload
ไฟร์วอลล์-cmd --get-zones
บล็อก dmz ดรอป บ้านภายนอก ภายใน publicDNS สาธารณะ งานสาธารณะที่เชื่อถือได้

ตอนนี้คุณสามารถกำหนดบริการและพอร์ตที่จำเป็นให้กับโซนใหม่ได้แล้ว ตัวอย่างเช่น คุณสามารถเพิ่ม SSH, HTTP และ HTTPS ลงในโซนเว็บสาธารณะได้

sudo firewall-cmd --zone=publicweb --add-service=ssh
sudo firewall-cmd --zone=publicweb --add-service=http
sudo firewall-cmd --zone=publicweb --add-service=https
ไฟร์วอลล์-cmd --zone=publicweb --list-all
เว็บสาธารณะ
อินเทอร์เฟซ:
แหล่งที่มา:
บริการ: http https ssh
พอร์ต:
สวมหน้ากาก: ไม่
ส่งต่อพอร์ต:
icmp-บล็อก:
กฎที่หลากหลาย:

คุณสามารถเพิ่ม DNS ลงในโซน privateDNS:

sudo firewall-cmd --zone=privateDNS --add-service=dns
ไฟร์วอลล์-cmd --zone=privateDNS --list-all
DNS ส่วนตัว
อินเทอร์เฟซ:
แหล่งที่มา:
บริการ: DNS
พอร์ต:
สวมหน้ากาก: ไม่
ส่งต่อพอร์ต:
icmp-บล็อก:
กฎที่หลากหลาย:

จากนั้นคุณสามารถกำหนดอินเทอร์เฟซเครือข่ายให้กับโซนใหม่ได้:

sudo firewall-cmd --zone=publicweb --change-interface=eth0
sudo firewall-cmd --zone=privateDNS --change-interface=eth1

ตอนนี้คุณสามารถทดสอบการตั้งค่าได้แล้ว หากทุกอย่างทำงานถูกต้อง คุณสามารถเพิ่มกฎเหล่านี้ในการตั้งค่าถาวรได้

sudo firewall-cmd --zone=publicweb --ถาวร --add-service=ssh
sudo firewall-cmd --zone=publicweb --permanent --add-service=http
sudo firewall-cmd --zone=publicweb --permanent --add-service=https
sudo firewall-cmd --zone=privateDNS --permanent --add-service=dns

หลังจากนี้ คุณสามารถกำหนดค่าอินเทอร์เฟซเครือข่ายได้ การเชื่อมต่ออัตโนมัติไปยังโซนที่ถูกต้อง

ตัวอย่างเช่น eth0 จะเชื่อมโยงกับเว็บสาธารณะ:

sudo นาโน /etc/sysconfig/network-scripts/ifcfg-eth0
. . .
IPV6_AUTOCONF=ไม่ใช่
DNS1=2001:4860:4860::8844
DNS2=2001:4860:4860::8888
DNS3=8.8.8.8
ZONE=เว็บสาธารณะ

และอินเทอร์เฟซ eth1 จะถูกผูกไว้กับ privateDNS:

sudo nano /etc/sysconfig/network-scripts/ifcfg-eth1
. . .
เน็ตมาสค์=255.255.0.0
ละลายน้ำแข็ง = "ไม่"
NM_CONTROLLED="ใช่"
ZONE=ไพรเวท DNS

รีสตาร์ท บริการเครือข่ายและไฟร์วอลล์:

sudo systemctl รีสตาร์ทเครือข่าย
sudo systemctl รีสตาร์ทไฟร์วอลล์

ตรวจสอบโซน:

ไฟร์วอลล์-cmd --get-active-zones
DNS ส่วนตัว
อินเทอร์เฟซ: eth1
เว็บสาธารณะ
อินเทอร์เฟซ: eth0

ตรวจสอบให้แน่ใจว่าบริการที่จำเป็นกำลังทำงานอยู่ในโซน:

ไฟร์วอลล์-cmd --zone=publicweb --list-services
http htpps ssh
ไฟร์วอลล์-cmd --zone=privateDNS --list-services
DNS

โซนผู้ใช้พร้อมใช้งานอย่างสมบูรณ์ คุณสามารถกำหนดให้รายการใดรายการหนึ่งเป็นโซนเริ่มต้นได้ ตัวอย่างเช่น:

sudo firewall-cmd --set-default-zone=publicweb

การเริ่มต้นไฟร์วอลล์โดยอัตโนมัติ

ตอนนี้คุณได้ตรวจสอบการตั้งค่าทั้งหมดแล้วและตรวจสอบให้แน่ใจว่ากฎทั้งหมดทำงานตามที่คาดไว้ คุณสามารถกำหนดค่าไฟร์วอลล์ให้เริ่มอัตโนมัติได้

เมื่อต้องการทำเช่นนี้ ให้ป้อน:

sudo systemctl เปิดใช้งานไฟร์วอลล์

ไฟร์วอลล์จะเริ่มต้นพร้อมกับเซิร์ฟเวอร์

บทสรุป

ไฟร์วอลล์ไฟร์วอลล์เป็นอย่างมาก เครื่องมือที่ยืดหยุ่น- โซนช่วยให้คุณเปลี่ยนนโยบายไฟร์วอลล์ได้อย่างรวดเร็ว

ตอนนี้คุณรู้วิธีการทำงานของไฟร์วอลล์แล้ว และคุณคุ้นเคยกับแนวคิดพื้นฐานของไฟร์วอลล์แล้ว คุณสามารถสร้างโซนที่กำหนดเองและเพิ่มบริการได้