Q&A
SSHがfirewalldによって拒否された、ということをどのように確認しましたか？
前提・実現したいこと
Amazon AWS にCentOS7のインスタンスを作成、SSHポート変更、firewalldインストールしたい
発生している問題・エラーメッセージ
firewalld設定後、インスタンスを再起動→TeraTermで新しいセッションを開始すると「接続を拒否されました」と出ます。
TeraTerm のセッションを残したうえでポート変更、systemctl restart sshdした後の新しいセッションでの再接続はできています。
firewalldをインストール設定後、インスタンスを再起動すると新しいセッションで再接続できなくなります。
該当のソースコード
vi /etc/ssh/sshd_config
Port 2222
setenforce 0
systemctl restart sshd
systemctl enable sshd
SSH通信確認
yum -y install firewalld
yum -y update
cp /usr/lib/firewalld/services/ssh.xml /etc/firewalld/services/ssh-2222.xml
vi /etc/firewalld/services/ssh-2222.xml
systemctl start firewalld
yum -y install iptables-services
vi /etc/sysconfig/iptables
-A INPUT -p tcp --dport 2222 -j ACCEPT
firewall-cmd --add-port=2222/tcp --zone=public --permanent
firewall-cmd --permanent --add-service=ssh-2222
firewall-cmd --reload
SSH接続を拒否されました
試したこと
セキュリティグループのインバウンドルール カスタムTCP2222を許可
補足情報（FW/ツールのバージョンなど）
CentOS7.8
回答ありがとうございます。クライアントPCのWindows10からTeraTermでセッションを開始しようとすると「接続を拒否されました」のダイアログが出て蹴られています。そのたびにインスタンスを削除、設定をやり直しています。
そのときfirewalldを停止したらSSH接続はできているのですか。
firewalldをインストールする手前のSSHポート変更後ではshutdown -r now しても再接続できていたのでfirewalldが原因と考えています。自分でもパニックっています。
追記）再起動する前は接続はできていたので違う原因かもしれません（謎
1)ポート2222でSSHログインしたい
2)その上でfirewalld有効にし、SSHログインしたい
のだと思うのですが、1)はクリア出来ていますか
セッションを残したうえでポート変更、systemctl restart sshdした後の新しいセッションでのポート2222への再接続はできています。
回答3件
0
要件次第にはなりますが、ポートのブロックについては
インスタンス側のファイアウォール機能では無く、
セキュリティグループで設定するのがベストプラクティスになるケースが多いです。
今回のルールだけであれば、セキュリティグループと完全に役割が重複して管理が煩雑になるだけなので、インスタンス側でfirewalldを設定する必要は無いかと思います。
投稿2020/05/28 08:59
総合スコア18711
やはりAWSではセキュリティグループ推奨のようですね。GUIで管理できるようなのでfirewalldは諦めます。
回答くださりありがとうございました。
0
ベストアンサー
恐らくfirewalldの設定がどこかおかしいのかと思いますが、質問の回答としてはあまり関係ないですね。
firewalldを入れた後にわざわざiptablesをインストールして設定してるあたりが少し気にはなります（iptablesを入れる必要はない認識）
さて、質問の答えとしては**「要件次第」**です。
基本的にはtanatさんの仰るように、二重管理を避ける+インスタンスに状態を持たせることを避けるという意味でもセキュリティグループによりコントロールするのがよいでしょう。
投稿2020/05/28 09:27
編集2020/05/28 09:34総合スコア7433
やはりAWSではセキュリティグループ推奨のようですね。GUIで管理できるようなのでfirewalldは諦めます。
回答くださりありがとうございました。
0
AWS のセキュリティグループのインバウンドルールに関しての記載がないですが、変更後のポートはインバウンドルールで許可していますか？
投稿2020/05/28 09:00
総合スコア25171
あなたの回答
tips
プレビュー
