web-dev-qa-db-ja.com

FirewallDの信頼できるゾーンとブロッキングIP

そのため、詳細には触れないようにしますが、firewalldの「信頼できる」ゾーンを使用する必要があります（開発者はfirewalldがソフトウェアをブロックしていると不平を言い続けており、ファイアウォールをオフにしてほしい）。

トラステッドゾーンで単一のIP（ネットワークゲートウェイ）をブロックしたいと思います。

私が行った：信頼できるゾーンにネットワークを追加しました

サブネットをトラステッドゾーンに追加します

Sudo firewall-cmd --zone=trusted --permanent --add-source=192.168.0.0/16

iPをブロックする

Sudo firewall-cmd --zone=trusted --add-rich-rule 'rule family="ipv4" source address=192.168.0.1 reject'
Sudo firewall-cmd --zone=trusted --add-rich-rule 'rule family="ipv4" source address=192.168.0.1 drop'

まだ機能しているのでどこでもブロック

Sudo firewall-cmd --add-rich-rule 'rule family="ipv4" source address=192.168.0.1 reject'
Sudo firewall-cmd --add-rich-rule 'rule family="ipv4" source address=192.168.0.1 drop'

デフォルトのゾーンを削除します

Sudo firewall-cmd --set-default=drop

リロード

Sudo firewall-cmd --reload

そして、そのすべてがそこにあることを確認してください

Sudo firewall-cmd --list-all-zones

Iptablesが問題になる順序を推測しています。別の方法はありますか？または私は何かが欠けていますか。ブロックにsourceとdestを追加してみました。

centossecurityredhatlinux-networkingfirewalld
1
sirmonkey

送信元アドレスがゲートウェイであると確信していますか？たとえば、セットアップによっては、ホストに接続しているゲートウェイではないホストは、ゲートウェイを経由している場合でも、送信元として独自のIPアドレスを持ちます。また、tcpdumpを実行して、ブロックする予定の構成をテストするときに何が入ってくるかを監視して、実際の送信元アドレスを確認することもできます。幸運を

1
ryorke