firewalld

firewalld is a firewall management tool for Linux operating systems. It provides firewall features by acting as a front-end for the Linux kernel's netfilter framework via the nftables userspace utility (before v0.6.0 iptables backend),^[1] acting as an alternative to the nft command line program. The name firewalld adheres to the Unix convention of naming system daemons by appending the letter "d".^[2]

firewalld is written in Python. It was intended to be ported to C++, but the porting project was abandoned in January 2015.^[3]

Features

firewalld supports both IPv4 and IPv6 networks and can administer separate firewall zones with varying degrees of trust as defined in zone profiles. Administrators can configure Network Manager to automatically switch zone profiles based on known Wi-Fi (wireless) and Ethernet (wired) networks, but firewalld cannot do this on its own.^[4]

Services and applications can use the D-Bus interface to query and configure the firewall.^[5] firewalld supports timed rules, meaning the number of connections (or "hits") to a service can be limited globally. There is no support for hit-counting and subsequent connection rejection per source IP; a common technique deployed to limit the impact of brute-force hacking and distributed denial-of-service attacks.^[6]

firewalld's command syntax is similar to but more verbose than other iptables front-ends like Ubuntu's Uncomplicated Firewall (ufw).^[6] The command-line interface allows managing firewall rulesets for protocol, ports, source and destination; or predefined services by name.

Services are defined as XML files containing port- and protocol-mappings, and optionally extra information like specifying subnets and listing required Kernel helper modules.^[7] The syntax resembles that of systemd's service files. A simple service file for a web server listening on TCP port 443 might look like this:

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>Web Server</short>
  <description>Public web host over HTTPS.</description>
  <port port="443" protocol="tcp" />
</service>

Limitations

Firewalld currently does not support outbound rules to the same capacity of inbound rules. Limitations include things such on ipsets, service names, and default outbound block by default rules required by standards such as NIST 800-171 and 800-53. Default block all needs to be done at the "raw" IPTables level via the --direct flag, and with the order of operations FirewallD uses to prioritize Rrules, rich rules, direct rules, it may be easier to enter all rules for outbound via --direct or use iptables (netfilter-persist)

Graphical front-ends (GUIs)

firewall-config is a graphical front-end that is optionally included with firewalld, with support for most of its features.

firewall-applet is a small status indicator utility that is optionally included with firewalld. It can provide firewall event log notifications as well as a quick way to open firewall-config. firewall-applet was ported from the GTK+ to the Qt framework in the summer of 2015 following the GNOME Desktop’s deprecation of system tray icons.^[8]

Adoption

Vorlage:Portal firewalld ships by default on the following Linux distributions:^[5]

• CentOS 7 and newer
• Fedora 18 and newer
• Red Hat Enterprise Linux 7 and newer
• OpenSUSE Leap 15 and newer^[9]
• SUSE Linux Enterprise 15 and newer^[9]

firewalld is enabled by default in all of these distributions. firewalld is also available as one of many firewall options in the package repository of many other popular distributions such as Debian^[10] or Ubuntu.

Firewall konfigurieren mit firewalld

CentOS (7) bringt mit firewalld eine

• einfach zu konfigurierende Firewall mit.
• Im Gegensatz zu UFW unter Ubuntu ist die Firewall unter Centos 7 von Anfang an aktiv.
• Sie unterstützt IPv4 und IPv6 als auch unterschiedliche Zonen für unterschiedliche Interfaces.
• Wird einem Interface z.B. die Zone „home“ zugewiesen, werden alle eingehenden Verbindungen angenommen.
• Wird die Zone „public“ zugewiesen, werden keine eingehenden Verbindungen angenommen, außer diese wurden explizit zugelassen.
• Für einen Server im Internet ist somit die Zone „public“ die geeignete.
• Um zu überprüfen ob die Firewall bereits aktiv ist wird folgender Befehl als root ausgeführt

# systemctl status firewalld

wenn die Firewall aktiv ist erhält man eine Ausgabe wie die folgende:

Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled)
Active: active (running) since So 2014-08-31 09:23:48 CEST; 14min ago
Main PID: 539 (firewalld)
CGroup: /system.slice/firewalld.service
└─539 /usr/bin/python -Es /usr/sbin/firewalld --nofork --nopid
Aug 31 09:23:48 centos systemd[1]: Started firewalld - dynamic firewall daemon.

Ist der Dämon nicht aktiv, kann er mit

# systemctl start firewalld

gestartet werden.

• Konfiguriert wird die Firewall mit dem Kommando firewall-cmd und den entsprechenden Optionen.
• Damit eine Änderung dauerhaft ist, und nicht nach einenm Neustart verloren geht, muss immer die Option –permanent verwendet werden.

Um herauszufinden welche Zone(n) gerade aktiv sind führt man folgenden Befehl aus:

# firewall-cmd --get-active-zones

und erhält z.B. folgende Ausgabe

# firewall-cmd --get-active-zones
public
interfaces: eth0

Dies bedeutet, dass dem Interface eth0 die Zone public zugewiesen ist. Bei einem Server mit nur einem Netzwerkinterface ist das in den meisten Fällen die sinnvollste Einstellung. Eine Liste mit allen verfügbaren Zonen erhält man mit:

# firewall-cmd --get-zones
block dmz drop external home internal public trusted work

Die Standard Zone kann folgendermaßen geändert werden, in diesem Fall z.B. auf „home“

# firewall-cmd --set-default-zone=home
success

Damit die Änderung auch nach einem Neustart noch funktioniert muss, wie oben beschrieben ein –permanent angehängt werden

# firewall-cmd --set-default-zone=home --permanent
success

Dienste welche Verbindungen annehmen dürfen werden immer einer Zone zugewiesen. Firewalld kommt mit vorkonfigurierten Diensten, von denen mache schon aktiv sind, z.B SSH auf Port 22. Die Konfiguration der Zone public erhält man mit:

# firewall-cmd --zone=public --list-all
public (default, active)
interfaces: eth0
sources:
services: dhcpv6-client ssh
ports:
masquerade: no
forward-ports:
icmp-blocks:
rich rules:

Die vorkonfigurierten Services sind unter /usr/lib/firewalld/services gespeichert. Eigene Services können unter /etc/firewalld/services hinzugefügt werden. Wenn eine Datei in beiden Verzeichnissen vorhanden ist, wird die Datei in /etc/firewalld/services verwendet. Einen neuen Service (in diesem Fall http, Port 80) kann man mit folgendem Befehl freigeben:

# firewall-cmd --zone=public --add-service=http --permanent
success

Damit Änderungen aktiv werden muss immer die Konfiguration neu geladen werden

# firewall-cmd --reload
success

Ruft man nun erneut die Konfiguration der Zone public auf sieht man dass der Service http hinzugefügt wurde

# firewall-cmd --zone=public --list-all
public (default, active)
interfaces: eth0
sources:
services: dhcpv6-client http ssh
ports:
masquerade: no
forward-ports:
icmp-blocks:
rich rules:

Entfernen kann man den Service wieder mit folgendem Befehl:

# firewall-cmd --zone=public --remove-service=http --permanent
success

und anschließendem

# firewall-cmd --reload
success

Natürlich ist es auch möglich einen Port für ein bestimmtes Protokoll freizugeben, ohne dafür einen Service zu konfigurieren. In diesem Fall geben wir Port 443 für TCP frei.

# firewall-cmd --zone=public --add-port=443/tcp --permanent
success

Aktiviert wird die Freigabe wieder mit

# firewall-cmd --reload
success

Eine erneutes Anzeigen der Konfiguration der Zone public zeigt uns dass der Port freigegeben wurde

# firewall-cmd --zone=public --list-all
public (default, active)
interfaces: eth0
sources:
services: dhcpv6-client http ssh
ports: 443/tcp
masquerade: no
forward-ports:
icmp-blocks:
rich rules:

Entfernen kann man die Portfreigabe wieder mit

# firewall-cmd --zone=public --remove-port=443/tcp --permanent
success

Weblinks

• https://en.wikipedia.org/wiki/Firewalld
• https://www.techgrube.de/tutorials/centos-firewall-konfigurieren-mit-firewalld
• https://firewalld.org/documentation/man-pages/firewall-cmd.html
• https://www.digitalocean.com/community/tutorials/how-to-set-up-a-firewall-using-firewalld-on-centos-7
• https://computingforgeeks.com/how-to-install-and-configure-firewalld-on-debian/
• https://www.linuxnix.com/installing-configuring-firewalld-linux/
• https://www.redhat.com/sysadmin/secure-linux-network-firewall-cmd