☰

Como bloquear todas as portas, exceto portas específicas, com firewall-cmd

tag-icon • tag-icon centos iptables firewalld
Como bloquear todas as portas, exceto portas específicas, com firewall-cmd

Estou usando o CentOS Linux versão 7.7.1908 (Core).

Quero bloquear conexões de entrada e saída de todas as portas TCP/UDP, exceto algumas.

A seguir está a configuração atual do firewall do sistema operacional:

# firewall-cmd --get-active-zones
public
  interfaces: ens160

# firewall-cmd --list-ports
5901/tcp 5902/tcp 5912/tcp 5911/tcp 5913/tcp 5914/tcp

# firewall-cmd --list-services
dhcpv6-client ssh

Embora o firewall pareça permitir conexões apenas pelas portas listadas acima, ainda posso usar determinadas portas, como 22 (SSH), 80 (HTTP), etc.

Como posso consertar isso?

Responder1

Lá você pode encontrar a resposta com iptables

https://superuser.com/questions/769814/how-to-block-all-ports-except-80-443-with-iptables/770191

você pode simplesmente colocar as portas que precisa abrir lá em vez de 80 e 443

Responder2

Você pode olhar no diretório /etc/firewalld/zones e alterar public.xml

Padrão /etc/firewalld/zones/public.xml

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <service name="cockpit"/>
</zone>

Então

firewall-cmd --reload

Você pode alterar sua zona de pública para descartada.

cp /usr/lib/firewalld/zones/drop.xml /etc/firewalld/zones/
 
#Add to /etc/firewalld/zones/ the following to permit ssh.
<service name="ssh"/>
 
firewall-cmd --set-default-zone=drop
firewall-cmd --reload

Se você optar por alterar a zona de firewall padrão para DROP, talvez seja necessário adicionar readd suas portas a ela.

firewall-cmd --permanent --add-port={5901,5902,5912.5911,5913,59124}/tcp
firewall-cmd --reload

informação relacionada