Red Hat 7 - Firewall Zones
systemctl start httpd, ובעזרת netstat -tln רואים שהוא מאזין לפורט 80. הדף נטען מקומית, אך מחשב אחר ברשת לא מצליח להתחבר, כי הפיירוול חוסם את התעבורה.firewall-cmd --get-active-zones מציג את האזורים הפעילים ואת הכרטיסים המשויכים אליהם.firewall-cmd --list-services מציג את השירותים המותרים באזור ברירת המחדל.firewall-cmd --add-service=http מוסיף שירות. אפשר להוסיף --timeout=10 כדי שהשינוי יחזור לקדמותו לאחר זמן קצוב, או --permanent כדי לשמור אותו לאתחולים הבאים.מבנה ושמות דיסקים ומחיצות בלינוקס:
הוכן ע"י התלמיד המצטיין: אברהים אבו שיכה
פרקי ההרצאה: Red Hat 7 - Firewall Zones
תמלול ההרצאה: Red Hat 7 - Firewall Zones
הטקסט המלא של הדקות הראשונות בהרצאה «Red Hat 7 - Firewall Zones» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לסרטון על מנגנון הפיירוול של גרסה 7 של רדט אנטרפייז לינוקס או סנטווס. בסרטון הזה אנחנו עומדים להראות איך בעצם השתנה המנגנון של הפיירוול, למעשה איך מנגנון ה-IP טייבלס נהטף בעזרת פיירוול D, אשר מאפשר ניהול דינמי
של ה-IP טייבלס ומאפשר לקבץ את הכרטיסים לכמה וכמה אזורים או כמו שאנחנו קוראים להם זונס וככה לפשט בצורה משמעותית את העבודה עם הפיירוול.
לכל כרטיס במערכת בגרסה 7 ניתן לבחור זון, את האזור שאליו הוא שייך. כלומר אם יש לי נגיד רשת בבית או שיש לי רשת במשרד אני ארצה הגדרות firewall שונות לכל אחת מהרשתות האלה.
כאן בעצם בעמודת האידנטיטי אפשר לבחור לאיזה זון הכרטיס יהיה שייך. על זה אנחנו נרחיב או-טו-טו בסרטון. כדי להמחיש את פעולת המערכת אנחנו עומדים להפעיל שרת HTTP אשר עובד כמובן בפורט 80 ואנחנו הולכים לראות איך הפיירוול חוסם אותו ואיך אפשר להגדיר את ה-firewall בעזרת הכלים השונים.
כרגע אני מפעיל את שרת ה-HTTP על המערכת, בעזרת הפקודה SystemCTL כמובן, SystemCTL Start HTTPD, אוקיי? השרת HTTPD יעלה ואנחנו נבדוק את הסטטוס שהוא אכן עלה, אוקיי?
כאן ניתן לראות שהשרת אכן עלה ולמעלה. נבדוק בעזרת נטסטאט שהשרת מאזין על פורט 80. נטסטאט מינוס tnl, t for tcp, n שיציג כמספרים ו-l את הליסנינג.
ואנחנו רואים שהשרת מאזין בפורט 80 על גבי המערכת. קובץ מבעוד מועד אשר בתוכו יש עמוד וב לדוגמה, ואנחנו נבדוק אם אנחנו רואים את הקובץ הזה כאשר אנחנו מתחברים לשרת.
הקובץ מכיל בתוכו Hello World HTML, פשוט טקסט כדי שאפשר יהיה לראות, הקובץ נמצא ב-VAR www.html, שזה בעצם הבסיס של שרת ה-Web, למי שזוכר מהסרטונים הקודמים.
עכשיו אני בודק את כתובת ה-IP של השרת, או בעזרת הפקודה IPADDR ברדט, אינטרפזינוג 7 או סנטוס 7 לא תמיד תהיה קיימת הפקודה ifconfig, לכן מומלץ גם להכיר את הפקודה IP היטב.
כרגע נפתח את עמוד ה-Web הזה בכתובת המקומית עם הבראוזר ונראה אם אנחנו מצליחים להתחבר. כמובן שה-firewall by default מותקן ככה שהוא לא יחסום שום תעבורה מקומית, לכן העמוד צריך להיטען ללא שום בעיה.
ואכן העמוד נטען. עכשיו בואו נראה האם אני מצליח לטעון את העמוד מהדפדפן אצלי במערכת. אני מפעיל את הדפדפן ונכנס לכתובת כאמור 192, 168, 1.8 ואני שהשרט לא מצליח להתחבר הדפדפן לשרת.
אוקיי, עכשיו הולכים לפתוח את ה-GUI שמאפשר שליטה על המנגנון של ה-Firewall-D. עושים את זה בעזרת הפקודה Firewall-Config. קיימת גם פקודה Firewall-CMD שאנחנו נדבר עליה בהמשך הסרטון.
וכאן אנחנו מגיעים ל-GUI של הגדרת ה-Firewall. אנחנו רואים כאן את הזונים ואת הסרוויסים שמשויכים לאותו זון. למטה אנחנו רואים את ה-Default Zone שבמקרה הזה הוא ה-Public.
כאשר לכרטיס רשת מסוים מוגדר ה-Default Zone אז הוא יפנה אותו ל-Public Zone שאנחנו רואים שהוא נבחר בצד שמאל. כרגע ה-HTTP לא נבחר ואנחנו הולכים ללחוץ עליו.
שימו לב למטה שמופיע Change Apply. הפיירוול D משנה דינמית את ההגדרות של הפיירוול, וככה למעשה כל שינוי של הגדרה שאנחנו עושים הוחל באותו הרגע.
בואו ננסה אם אנחנו יכולים לגשת לעמוד. כן, אכן כן, אנחנו ניגשים לעמוד, ועכשיו רואים את הדף html. שימו לב, כל מה שהם צריכים לעשות זה קליק אחד.
בואו נראה אם אנחנו מורידים את ה-v הזה, אם זה עדיין עובד, נעשה refresh לדף. שימו לב, מנסה לעשות קונקטינג ולא מתחבר. אם אני עושה back ו-forward עדיין לא מצליח להתחבר לדף.
לצורך העניין נאפשר את זה. שימו לב, אנחנו כרגע התמקמנו בקונפיגורציה של run time, שזה מה שקורה עכשיו. יש לנו גם קונפיגורציה שהיא permanent, שהיא קבועה והיא תישמר לאחר הבוט.
פה גם כן אני יכול לבחור את שירות ה-HTTP וכך גם הקונפיגורציה תישמר לי מבוט לבוט. לסיכום, קונפיגורציית run time משפיעה באותו הרגע וקונפיגורציית פרמננט היא בעצם תשפיע החל מה-reboot הבא.
כמובן שקיימת גם דרך לשלוט על ה-firewall דרך ממשק הטקסט ולמען האמת זה הרבה יותר קל, אינטואיטיבי ונוח מאשר לשלוט על ה-IP טייבלס.
למשל, אני רוצה לראות את כל הזונים, את כל האזורים שכרגע פעילים על השרת. אני רושם את הפקודה firewall.cmd עם הפקודה - - Get Active Zones. כאן אני אראה את השם של הזון ועל איזה כרטיס או כרטיסים פעילים כרגע ה-Zone Public פעיל רק על הכרטיס רשת הראשי NP-01S3 כאשר למשל אני
ארצה לראות איזה סרוויסים מאופשרים לי במערכת אני ארשום firewall.cmd == List Services ואז התוצאה שאני אקבל הפלט יהיה רשימת הסרוויסים שפועלים אצלי כרגע ומאופשרים ב-Default Zone.
כמו שאמרנו, ה-Default Zone שלי הוא Public, לכן אני לא צריך לכתוב את ה-Zone. להוסיף סרוויס ממש ממש פשוט. כל מה שאני צריך לרשום זה נקודה של Add Service.
שימו לב איך ה-Auto Complete עובד יפה. הציג לי רשימה של סרוויסים ברגע שרחצתי פעמיים Tab, אני בוחר את הסרוויס HTTP ועכשיו אני לא בטוח אם השינוי הוא טוב ואני רוצה לשמור אותו לאורך זמן ולכן אני גם יכול לתת טיים אאוט.
כלומר אחרי 10 שניות במקרה הזה המצב יחזור לקדמותו. זה טוב פעם אחת לנסות קונפיגורציות חדשות ופעם שנייה זה טוב למשל אם אני אני רוצה לפתוח פורט, לא יודע, לשעתיים-שלוש כדי שמישהו יצליח לסיים איזושהי פעולה ואז המערכת אוטומטית תחזור לקדמותה.
כמו שראיתם פה, ה-service.http היה ולאחר עשר שניות כשרצתי עוד פעם את הפקודה הוא נעלם. כרגע אני רוצה להוסיף את ה-service בצורה קבועה, לכן השתמשתי ב-permanent.
שימו לב, זה שהוספתי אותו ל-permanent זה לא אומר שזה התחיל לעבוד כבר מעכשיו וכדי לאחר את הקונפיגורציה מהרגע הזה בעצם הוספתי את הסרוויס htp בלי permanent ועכשיו אני יכול לראות שה-http הוא חזר לרשימה ונבדוק בבראוזר אם אכן אנחנו יכולים לגשת לדף 192.98.1.8 וכן אנחנו מקבלים את הדף.
זוהי בעצם דוגמה לעבודה עם ה-CLI. רדט, כאשר הם תכננו את המערכת, הם תכננו אותה בצורה מאוד מאוד טובה, והם הבינו שיהיו לקוחות ובעצם משתמשים שירצו לחזור לאפליקציה.
ולכן המערכת היא מבוססת על מנגנונים קיימים. אם אנחנו נסתכל על ה-IPTables-Minus-Minus-List, אנחנו בעצם נראה שיש קונפיגורציה מאוד מסובכת של IPTables שה-firewall-D עורך אותה מאחורה.
כדי לחזור לעבוד עם IP טייבלס טהור, מה שאנחנו עושים, אנחנו קודם כל מבטלים את ה-firewalld, אוקיי, על ידי הפקודה systemctl stop firewalld, systemctl,