為什麼firewalld不應用我的丟棄規則？

Question 1

我有相同/類似的問題。經過幾個小時的故障排除後，我有以下觀察結果。

iptables 規則鏈（對於「公共」區域）的順序是：

IN_public_log 
IN_public_deny
IN_public_allow

這意味著「拒絕」規則在「允許」規則之前處理 - 因此這對於理解規則的匹配順序非常重要。不知道這個順序能不能改。

我遇到了同樣的問題，發出 afirewalld-cmd --reload似乎並不影響 SIP 封包是否被丟棄或接受，但重新啟動解決了它。

然而，我發現了這個firewalld-cmd --complete-reload命令，它似乎工作得更好 - 儘管我認為這會刪除任何現有的會話。但至少我可以更改防火牆規則，而不必重新啟動即可完全/正確應用它。

我還注意到，sngrep 似乎仍然能夠捕獲並顯示 SIP 訊息，即使它被阻止，但它顯示的訊息計數為 1，並且沒有回應訊息（因為它實際上被阻止）。

更新：我了解 sngrep （自 0.1.0 起）使用 libpcap - 請參閱https://github.com/irontec/sngrep/wiki。根據這篇文章，libpcap 在（入站）資料包被「防火牆」處理之前對其進行處理。我認為在這種情況下“防火牆”也可以指防火牆。看tcpdump 會看到 iptables 丟棄的封包嗎？

注意：CentOS 7 似乎附帶了firewalld 版本0.4.4.4。最新的是0.6.0，但我還不知道如何升級。我希望新版本可以解決/修復上述問題。

Answer

我有相同/類似的問題。經過幾個小時的故障排除後，我有以下觀察結果。

iptables 規則鏈（對於「公共」區域）的順序是：

IN_public_log 
IN_public_deny
IN_public_allow

這意味著「拒絕」規則在「允許」規則之前處理 - 因此這對於理解規則的匹配順序非常重要。不知道這個順序能不能改。

我遇到了同樣的問題，發出 afirewalld-cmd --reload似乎並不影響 SIP 封包是否被丟棄或接受，但重新啟動解決了它。

然而，我發現了這個firewalld-cmd --complete-reload命令，它似乎工作得更好 - 儘管我認為這會刪除任何現有的會話。但至少我可以更改防火牆規則，而不必重新啟動即可完全/正確應用它。

我還注意到，sngrep 似乎仍然能夠捕獲並顯示 SIP 訊息，即使它被阻止，但它顯示的訊息計數為 1，並且沒有回應訊息（因為它實際上被阻止）。

更新：我了解 sngrep （自 0.1.0 起）使用 libpcap - 請參閱https://github.com/irontec/sngrep/wiki。根據這篇文章，libpcap 在（入站）資料包被「防火牆」處理之前對其進行處理。我認為在這種情況下“防火牆”也可以指防火牆。看tcpdump 會看到 iptables 丟棄的封包嗎？

注意：CentOS 7 似乎附帶了firewalld 版本0.4.4.4。最新的是0.6.0，但我還不知道如何升級。我希望新版本可以解決/修復上述問題。

Question 2

在嘗試使規則發揮作用時，我以兩種不同的方式建立阻止規則。第一種方法是將 IP 放入放置區域：

firewall-cmd --permanent --zone=drop --add-source=3.3.3.0/24

並忘記重新載入命令，因此該規則不適用，接下來我在防火牆中建立此條目。

firewall-cmd --permanent --zone=public --add-rich-rule='rule family=ipv4 source address=3.3.3.0/24 reject'

而且我無法讓規則與防火牆中的兩個條目一起使用。清除防火牆中與 3.3.3.0/24 網路相關的所有條目並使用拖放區域重新建立規則後，它對我有用。

Answer

在嘗試使規則發揮作用時，我以兩種不同的方式建立阻止規則。第一種方法是將 IP 放入放置區域：

firewall-cmd --permanent --zone=drop --add-source=3.3.3.0/24

並忘記重新載入命令，因此該規則不適用，接下來我在防火牆中建立此條目。

firewall-cmd --permanent --zone=public --add-rich-rule='rule family=ipv4 source address=3.3.3.0/24 reject'

而且我無法讓規則與防火牆中的兩個條目一起使用。清除防火牆中與 3.3.3.0/24 網路相關的所有條目並使用拖放區域重新建立規則後，它對我有用。

Question 3

你缺乏一些基礎知識。有接口，接口屬於一個區域（預設為公共）。該區域的規則在屬於該區域的所有介面上實施。你有兩個介面諾1（在區域內內部的）和恩4（在區域內民眾）。正如 Nasir Riley 所建議的，您必須在所需介面所屬的區域上實施規則。你正在嘗試與該區域有關的事情”降低「但該區域中沒有介面。來自 Red Hat 文檔降低區：

“任何傳入的網路資料包都會被丟棄；沒有回應。只能進行傳出網路連線。”

因此，您可以將所需的介面放入該區域，但先刪除已新增的規則。並且徹底地去RHEL 7 安全指南，有很多關於firewalld的資訊。

Answer

你缺乏一些基礎知識。有接口，接口屬於一個區域（預設為公共）。該區域的規則在屬於該區域的所有介面上實施。你有兩個介面諾1（在區域內內部的）和恩4（在區域內民眾）。正如 Nasir Riley 所建議的，您必須在所需介面所屬的區域上實施規則。你正在嘗試與該區域有關的事情”降低「但該區域中沒有介面。來自 Red Hat 文檔降低區：

“任何傳入的網路資料包都會被丟棄；沒有回應。只能進行傳出網路連線。”

因此，您可以將所需的介面放入該區域，但先刪除已新增的規則。並且徹底地去RHEL 7 安全指南，有很多關於firewalld的資訊。

為什麼firewalld不應用我的丟棄規則？

答案1

答案2

答案3

相關內容