Dotaz: firewalld

[marcelius]

Zdravim,

potrebuji poradit:

server A potrebuje komunikovat se serverem B na ruznych portech. Potrebuji nastavit firewalld tak aby komunikace mezi A a B nebyla nijak blokovana a komunikace ven a dnu byla jen na portech 22,8080,80,443,8443

zkousel jsem:

firewall-cmd --permanent --add-source=192.168.0.0/24

firewall-cmd --permanent --add-port=22/tcp

ale nic. muzete nekdo poradit?

Odpovědi

[n]

firewall-cmd --reload

[mishkooo1]

Len pre info:

firewall-cmd --permanent --add-source=192.168.0.0/24

firewall-cmd --permanent --add-port=22/tcp

je zmena permanentna, nieje aplikovana okamzite. Na aplikovanie je potrebne ako uz pisal "n" predo mnou: firewall-cmd --reload

Ak chces "runtime" zmenu vynechaj "--permanent", ale tato zmena nieje reboot perzistentna.

[chrono]

Zvláštne fungovanie, keď sa to niekedy aplikuje okamžite a inokedy nie.

[Filip Jirsák]

To není „někdy ano a někdy ne“, ale závisí to na použitých parametrech. Když použijete --permanent, měníte konfiguraci (jako kdybyste měnil konfigurační soubor). Když ho nepoužijete, měníte aktuální (runtime) prostředí. Případně můžete pomocí --runtime-to-permanent serializovat aktuální (runtime) stav do trvalé konfigurace.

[chrono]

Takže zmena konfigurácie a súčasne runtime sa spoľahlivo (a bez straty len runtime pravidiel) urobiť jednoduchým spôsobom nedá.

[Sten]

If you want to make a change in runtime and permanent configuration, use the same call with and without the --permanent option.

[Filip Jirsák]

Právě že se to spolehlivě udělat dá. Nejdříve to spustíte bez --permanent, pak ověříte, že je všechno správně, a po té to znovu spustíte s --permanent. Kdyby se rovnou všechno ukládalo do konfigurace, těžko se při nějaké chybě budete vracet do původního funkčního stavu.

[j]

Ono to neumi mazat? Hmm ... a pokud se odstreli od sshcka ... i tou "docasnou" zmenou tak stejne musi k tomu stroji fyzicky dojit a restartnout to ...

Zlaty iptables.

[Michal Kubeček]

Než začnete experimentovat na ostrém systému, dáte si pomocí at za (např.) 15 minut spustit příkaz, který obnoví původní (funkční) konfiguraci. Totéž doporučuji dělat i s iptables.