firewalldでoutboundの通信制限

firewalldでoutboundの通信制限をかけたところ、Inboundの通信もできなくなりました。
Inboundの許可設定はリッチルールで、Ounboundの許可設定とその他Outboundの拒否設定は
ダイレクトルールで設定しました。

#####やりたいこと
SSH足場サーバ→設定対象サーバ　ssh接続許可(Inbound)
設定対象サーバ→メールサーバ　smtp接続許可(Outbound)
その他全ての通信(Inbound/Outbound)を遮断

######構成

サーバ	IPアドレス
設定対象サーバ	192.168.1.100
SSH足場サーバ	192.168.1.22
メールサーバ	192.168.1.25

#####やったこと
[SSH足場サーバ→設定対象サーバ　ssh接続許可(Inbound)]

# firewall-cmd --permanent --add-rich-rule "rule family="ipv4" source address="192.168.1.22" port port="22" protocol="tcp" accept"
# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens192
  sources:
  services:
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
        rule family="ipv4" source address="192.168.1.22" port port="22" protocol="tcp" accept

[設定対象サーバ→メールサーバ　smtp接続許可(Outbound)]

# firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 -o ens192 -m tcp -p tcp -d 192.168.1.25 --dport 25 -j ACCEPT

[その他全ての通信を遮断]

# firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 10 -o ens192 -j REJECT	←この設定後ssh接続の通信が遮断され、接続できなくなりました。

#####質問事項
①リッチルールとダイレクトルールは共存できますか？
②共存できる場合、どちらの設定が優先されますか？リッチルールで許可していてもダイレクトルール側の全拒否ルールが優先されるのでしょうか。
③共存できない場合は、Outboundの制限を設定したい以上、Inbound含め全てダイレクトルールで設定した方がよいのでしょうか。

リッチルールよりもダイレクトルールが優先されているためにやりたいことが実現できていないと考えたので上記のような質問の仕方をしておりますが、
コマンドがそもそも違う等、その他の原因がございましたらご指摘いただけると幸いです。

行動規範の内容に同意します

回答1件

ベストアンサー

①リッチルールとダイレクトルールは共存できますか？

共存できます。

②共存できる場合、どちらの設定が優先されますか？
リッチルールで許可していてもダイレクトルール側の全拒否ルールが優先されるのでしょうか。

iptables (CentOS 8 の場合、nft) で確認できます。
INPUT はダイレクトルール、リッチルールの順、OUTPUT はダイレクトルールのみです。

リッチルールやその他 "--add-service" などの INPUT 許可ルールは、OUTPUT で全許可している前提のようで、戻りパケットの許可ルールは特に設定しません。
なので、OUTPUT のダイレクトルールで全拒否すると、INPUT で許可されたパケットの戻りが返らず、通信できなくなります。

戻りパケットを許可するルールを入れるといいと思います。

# firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 -o ens192 -m tcp -p tcp -d 192.168.1.25 --dport 25 -j ACCEPT
# firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 2 -o ens192 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 10 -o ens192 -j REJECT