Linux firewall-cmd, ファイアウォールのポートを開け閉めする

Redhat系Linuxにはfirewalldというファイアウォールのサービスが標準であります。それを細かく設定するコマンドがfirewall-cmdで、ポートを開けたり閉めたりします。

サービス名（アプリケーション名）とポート番号で設定する方法があります。

今回の作業は、サーバーエンジニア、インフラエンジニアでないとほとんど使うことはありません。ファイアウォールの設定はインフラ構築のときだけ行なうからです。

だからこそ、かんたんな作業ほどすぐ忘れてしまいます。今回はそのための備忘録です。

firewall-cmdコマンドとは？

RedHat系Linuxは、バージョン7（RedHat7, CentOS7）からファイアウォールのアプリケーションがデフォルトでインストールされています。Firewalldです。

Firewalldのいろいろな設定を行なうコマンドがfirewall-cmdです。

systemctl status firewalld

Firewalldが起動していないかもしれません。その場合はfirewalldを起動します。

systemctl enable firewalld

systemctl start firewalld

デフォルトのファイアウォールの設定を見ます。

firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0 eth1
  sources:
  services: dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

Firewalldは、ゾーン（zone）という単位で管理します。デフォルトはpublicです。

いくつかのゾーンを用意して、ゾーンを切り替えることでファイアウォールの設定をかんたんに変えることもできます。

ゾーンははっきりした目的がないかぎりpublicを使ってかまいません。

ゾーンについてはべつの機会にまかせてこのくらいにします。

ポート開閉の方法

ポートの開閉は、

の値を変更します。

Firewalldのデフォルトでは、サービスで

しか開けていません。ポート番号はなにも開けてないです。

いまの状態は、リモートのログインができるだけです。ウェブサーバーを立ててもウェブページが見ることすらできません。

今回は、httpsを開放してウェブページが見れるようにします。

サービス名でポートを開閉する

firewall-cmd u002du002dget-services

firewall-cmd u002du002dlist-services

firewall-cmd u002du002dadd-service=u003cserviceu003e

firewall-cmd u002du002dremove-service=u003cserviceu003e

firewall-cmd u002du002dadd-service=https

ポート番号でポートを開閉する

firewall-cmd u002du002dlist-ports

firewall-cmd u002du002dadd-port=u003cportidu003eu003cprotocolu003e

firewall-cmd u002du002dremove-port=u003cportidu003eu003cprotocolu003e

firewall-cmd u002du002dadd-port=443/tcp

番号の範囲を指定して、複数のポートを開閉することもできます。

firewall-cmd u002du002dadd-port=9000-9010/tcp

設定の恒久化

firewall-cmdで設定した内容は、Firewalldを再起動すると追加・変更したものが消えます。

OSの再起動をしたら消えてしまうんですね？

消えないようにするには、

のオプションをつけます。

firewall-cmd u002du002dadd-service=https u002du002dpermanent

--permanentは、設定内容を変更するサブコマンドすべてで使えます。

まとめ

今回は、アプリケーション層でのポートの開閉だけをご紹介しました。

Firewalldには、トランスポート層（TCP, UDP）、インターネット層（IP, ICMP）での開閉もできます。

このあたりは、高度なセキュリティをつくるときに使われるので割愛しました。

単純なポートの開閉ならこれでいけます。