Como configurar firewalld en CentOS 8, Fedora, RHEL y derivados.

El uso de firewall, es una de las mejores formas de proteger tu sistema de tráfico no deseado procedente de redes externas. Una herramienta perfecta para tal efecto, es Firewalld, que además es open source.

Existe una falsa creencia entre los profanos de la administración de servidores; No sería la primera vez que alguien me dice que no necesita iptables (o nftables), tiene UFW o Firewalld. Es evidente que existe un gran desconocimiento al respecto, UFW, Firewalld y otros muchos, son simples controladores frontend para iptables o nftables, que ofrecen una interfaz cómoda en línea de comandos para implementar reglas firewall (existen versiones GUI).

FirewallD usa zonas y servicios, en vez de las cadenas y reglas típicas de iptables, además tiene la capacidad de administrar los conjuntos de reglas dinámicamente. La herramienta en línea de comandos para administrar el tiempo de ejecución y su configuración permanente, se conoce como firewall-cmd. Configurar firewalld.

Esta herramienta opera de forma nativa en las siguientes distribuciones linux:

• RHEL 7 y posteriores.
• CentOS 7 y posteriores.
• Fedora 18 y más nuevos.
• SUSE 15 y posteriores.
• OpenSUSE 15 y más recientes.

En este artículo conocemos los principios básicos de configuración de esta excelente herramienta.

 

Como configurar firewalld en CentOS 8 y Fedora

Firewalld ofrece grandes mejoras respecto al firewall de Netfilter, antes de comenzar a configurar firewalld vemos sus principales características.

• API D-Bus completa.
• Soporte completo para IPv4, IPv6, bridge e ipset.
• Compatible con NAT IPv4 e IPv6.
• Especificar zonas de cortafuegos.
• Lista predefinida de zonas, servicios y tipos de icmp.
• Servicio simple, puertos, protocolos, puertos de origen, enmascaramiento, reenvío de puertos, filtro icmp, reglas enriquecida, completa interfaz y el control de direcciones de origen en las zonas.
• Definición del servicio simple con puertos, protocolos, puertos de origen, módulos de netfilter y manejo de direcciones de destino.
• Lenguaje enriquecido que nos permiten crear reglas más flexibles y complejas.
• Reglas de firewall por tiempo en las zonas.
• Registro simple de paquetes denegados.
• Excelente interfaz.
• Lista blanca de aplicaciones que pueden modificar el firewall.
• Carga automatizada de los módulos del kernel Linux.
• Integración con Puppet.
• Configuración online y offline.
• Herramienta de configuración gráfica mediante gtk3.
• Applet para Qt4.

 

Firewalld viene instalado por defecto en las distribuciones mencionadas anteriormente, pero tal vez no lo tengas si instalaste un minimal server. Por si acaso… instalamos.

CentOS 7, Rhel 7 y derivados:

sudo yum install firewalld -y

Fedora, CentOS 8, Rhel 8 y derivados:

sudo dnf install firewalld -y

Open Suse, Suse y derivados:

sudo zypper install firewalld -y

Una vez instalada, la iniciamos y habilitamos (válido para todas las distros mencionadas).

systemctl start firewalld
systemctl enable firewalld

Verificamos su estado.

firewall-cmd --state

Imagen de ejemplo de salida correcta.

 

Bien… lo primero que haremos es identificar las zonas disponibles de manera predeterminada.

firewall-cmd --get-zones

Aparecen las zonas predefinidas…

[root@sololinux-demo ~]# firewall-cmd --get-zones
block dmz drop external home internal public trusted work
[root@sololinux-demo ~]#

Ahora identificamos la zona que tenemos activa.

firewall-cmd --get-active-zones

Como podemos observar, en nuestro caso es la public.

[root@sololinux-demo ~]# firewall-cmd --get-active-zones
public
  interfaces: venet0
[root@sololinux-demo ~]#

También podemos identificar la zona configurada de forma predeterminada por el sistema.

firewall-cmd --get-default-zone

Nos indica la public…

[root@sololinux-demo ~]# firewall-cmd --get-default-zone
public
[root@sololinux-demo ~]#

Puedes modificar la zona aplicada, por cualquiera de las que vimos en el ejemplo anterior con el siguiente comando. En el comando de ejemplo la zona home.

firewall-cmd --set-default-zone=home --permanent

Podemos visualizar la información sobre la zona con este comando (nosotros usamos un servidor, por tanto la public).

firewall-cmd --info-zone public

Ejemplo…

[root@sololinux-demo ~]# firewall-cmd --info-zone public
public
  target: default
  icmp-block-inversion: no
  interfaces: 
  sources: 
  services: cockpit dhcpv6-client ssh
  ports: 80/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

Si quieres, también puedes enumeras los servicios habilitados con el siguiente comando.

firewall-cmd --get-services

Como configurar firewalld en CentOS 8, Fedora, RHEL y derivados

 

En este paso vamos a permitir un servicio, en este caso el puerto 22 (ssh).

firewall-cmd --zone=public --permanent --add-port=22/tcp

Reiniciamos la aplicación y verificamos que el servicio ssh está habilitado.

firewall-cmd --reload

# Con tu zona definida (public)
firewall-cmd --info-zone public

En la siguiente imagen vemos el puerto 22 abierto.

Para denegar el acceso al servicio o puerto ejecuta el siguiente comando (por ejemplo el puerto 80 httpd).

firewall-cmd --zone=public --permanent --remove-port=80/tcp

Como puedes observar, permitir o denegar servicios es tarea sencilla. Poe ejemplo ftp.

# permitir servicio
firewall-cmd --zone=public --permanent --add-service=ftp
firewall-cmd --reload

# denegar servicio
firewall-cmd --zone=public --permanent --remove-service=ftp
firewall-cmd --reload

 

Últimamente, enmascarar la ip es algo común. Es una forma de que el receptor no identifique tu ip privada, pero si la del servidor.

Habilitamos el enmascaramiento.

firewall-cmd --zone=public --add-masquerade
firewall-cmd --reload

Ahora lo deshabilitamos.

firewall-cmd --zone=public --remove-masquerade
firewall-cmd --reload

 

Hemos aprendido a usar FirewallD, bloquear el tráfico no deseado en nuestro sistema, desbloquearlo. Son tareas necesarias si queremos estar protegidos de atacantes.

 

Canales de Telegram: Canal SoloLinux – Canal SoloWordpress

Espero que este artículo te sea de utilidad, puedes ayudarnos a mantener el servidor con una donación (paypal), o también colaborar con el simple gesto de compartir nuestros artículos en tu sitio web, blog, foro o redes sociales. Como configurar firewalld en CentOS 8.

Chat de SoloLinux en Telegram