質問の要旨

firewalld の設定や表示についてお伺いします。

特定のIPからの接続を破棄（block:拒否ではなくdrop）させたくて、以下のコマンドの対応をしました。

bash
1# firewall-cmd --zone=drop --permanent --add-source=x.x.x.x/xx
2# firewall-cmd --reload

ところが、/var/log/httpd/access_log を見ると、そのIP（範囲）からのhttp接続のログが引き続き出力されます。

firewalld の設定を見ると以下のようになっていました。

bach
1# firewall-cmd --list-all --zone=drop
2drop (active)
3  target: DROP
4  icmp-block-inversion: no
5  interfaces:
6  sources: x.x.x.x/xx
7  services:
8  ports:
9  protocols:
10  masquerade: no
11  forward-ports:
12  source-ports:
13  icmp-blocks:
14  rich rules:
15
16# firewall-cmd --list-all --zone=public
17public (active)
18  target: default
19  icmp-block-inversion: no
20  interfaces: eth0
21  sources:
22  services: http https ssh
23  ports:
24  protocols:
25  masquerade: no
26  forward-ports:
27  source-ports:
28  icmp-blocks:
29  rich rules:

drop に active とついています。
この意味を理解していませんが、これがついているために、指定したIPからの接続を許可してしまっているのではないかと思い、自分のデバイスのIPアドレスを同様に設定し、接続確認するとやはり接続できませんでした。

知りたいこと

active の表示の意味
接続が許可されてしまう理由

やったこと/やっていないこと

iptables については特に設定していません（デフォルト）
自らのデバイスからアクセス拒否されることの確認
拒否したいIPのwhiosによるIPアドレス範囲の調査、マスク範囲の確認、からの --add-source 設定
当然ではありますが、自分のデバイスのIPを --add-source したあと、access_log を見ても、ログが記録されることはなかった

よろしくお願いします。

行動規範の内容に同意します

回答1件

ベストアンサー

active の表示の意味

active は drop ゾーンが使われていることを意味します。

--add-source または --add-interface で結び付けられているゾーンが active となります。
iptables の INPUT_ZONES チェインに IN_drop が登録されていることで確認することができます。

接続が許可されてしまう理由

既に接続中の通信については、drop ゾーンに入る前に許可されていて、drop ゾーンのルールは適用されません。
iptables のルールでいうと、--ctstate RELATED,ESTABLISHED -j ACCEPT が先に設定されています。

接続中の通信は /proc/net/nf_conntrack で確認することができます。
firewalld を再起動すると、iptables 関連の kernel モジュールがアンロード、再ロードされて、nf_conntrack の情報が消えます。

投稿2020/09/01 05:51

TaichiYanagiya

総合スコア12146

t4c62096

2020/09/01 14:48

TaichiYanagiyaさん　ありがとうございます。確認のためお聞きします。 nf_conntrackk に表示されていない（現在は通信していない）ホストが、dropゾーンに存在するIPであるとき、次回の通信要求では、firewalld の機能によりパケットが破棄される。という認識でよいでしょうか。「すでに通信中」は「通信が継続していればそれは許可される」ということであり、「nf_conntrackは通信中でいまだ切断していないホストのリスト」だと認識しています。それでもなお、/var/log/httpd/access.log に、dropゾーンの追加したIPからの不正な要求があるので、なぜこの状態になっているのか、理解できていません。まずは、本項前段の私の認識に誤りがないか、確認させていただきたいのですが、お時間がありましたら、正否だけでもお聞き出来たら助かります。