☰

Cómo bloquear todos excepto puertos específicos con firewall-cmd

tag-icon • tag-icon centos iptables firewalld
Cómo bloquear todos excepto puertos específicos con firewall-cmd

Estoy usando CentOS Linux versión 7.7.1908 (Core).

Quiero bloquear las conexiones entrantes y salientes de todos los puertos TCP/UDP excepto algunos.

La siguiente es la configuración actual del firewall del sistema operativo:

# firewall-cmd --get-active-zones
public
  interfaces: ens160

# firewall-cmd --list-ports
5901/tcp 5902/tcp 5912/tcp 5911/tcp 5913/tcp 5914/tcp

# firewall-cmd --list-services
dhcpv6-client ssh

Aunque el firewall sólo parece permitir conexiones a través de los puertos enumerados anteriormente, aún puedo usar ciertos puertos como 22 (SSH), 80 (HTTP), etc.

¿Cómo puedo arreglar esto?

Respuesta1

Allí puedes encontrar la respuesta con iptables.

https://superuser.com/questions/769814/how-to-block-all-ports-except-80-443-with-iptables/770191

Puedes simplemente poner los puertos que necesitas abiertos allí en lugar de 80 y 443.

Respuesta2

Puede mirar el directorio /etc/firewalld/zones y cambiar public.xml

Predeterminado /etc/firewalld/zones/public.xml

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <service name="cockpit"/>
</zone>

Entonces

firewall-cmd --reload

Puedes cambiar tu zona de pública a drop.

cp /usr/lib/firewalld/zones/drop.xml /etc/firewalld/zones/
 
#Add to /etc/firewalld/zones/ the following to permit ssh.
<service name="ssh"/>
 
firewall-cmd --set-default-zone=drop
firewall-cmd --reload

Si elige cambiar la zona de firewall predeterminada a DROP, es posible que deba agregarle sus puertos.

firewall-cmd --permanent --add-port={5901,5902,5912.5911,5913,59124}/tcp
firewall-cmd --reload

información relacionada