Q&A
URLは https://teratail.com/help/question-tips#questionTips3-7 の [リンク] で [リンク先の説明](http...) に修正してください。
iptablesとFirewalldの違いについて、教えてください。
以下のページの記載の設定変更項目に
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
iptalbles:設定を反映させるために、サービスの再起動が必要（ネットワークの瞬断が発生する）
firewalld:通信を停止させることなく、変更した設定を反映できる
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
の説明がありますが、具体的にご教示頂けると幸いです。
https://www.atmarkit.co.jp/ait/articles/1602/18/news019.html
実際にiptables、Firewalldの環境で、違いを確認するために、
新たなサービスの追加などを行いましたが、iptablesで「ネットワークの瞬断が発生する」という状況を確認することは
出来ませんでした。
上記について、具体的にご教示頂けると助かります。
どうぞ宜しくお願い致します。
回答2件
0
新たなサービスの追加などを行いましたが、iptablesで「ネットワークの瞬断が発生する」という状況を確認することは
iptablesが有効であることを条件に接続出来ている状態でもない限り、瞬断が発生する訳がありません。
それ以前にfirewalldの実体はiptablesです。iptablesで瞬断が発生するならfirewalldを使ったところで瞬断は発生するに決まってます。
ここに書いてある通りreloadの実装が無い頃はiptablesのルール反映に再起動の必要があった。その為、stopからstartまでのわずかな時間だけiptablesが効かない状態になるという事はありますが、それでも瞬断は関係ありません。
※centOS7の場合の回答
投稿2020/10/26 01:30
編集2020/10/26 01:33
総合スコア6421
ご教示頂きありがとうございます。
1点追加で質問させてください。
OUTPUT通信、FORWORD通信も制御したい場合は、firewalldを使用するメリットはあまりなく（管理がzoneだけでなく、directも見る必要があるので複雑になる）、これまで通り、iptalblsを使用した方が良さそうな気がしますが、その理解であっているでしょうか。
そこは個人の感覚だと思いますが、自分ならfirewalldでdirectルール使った方が楽なのでiptablesは触りません。
iptablesは全然慣れなくて直接ファイル直接編集してましたけど、firewalldのコマンドは簡単なのですぐ慣れましたし。
でもiptablesに慣れてるならiptablesで良いと思いますよ。前の質問のコメントでもそんな感じのコメントしましたが、cento8でもインストールすれば使えるし。さらに先の将来の事は知らないけど
0
iptablesで「ネットワークの瞬断が発生する」という状況
iptables サービスの再起動スクリプトの作りによりますが、例えば、以下のようなことが考えられます。
- (nat テーブル) すべてのルールが一時的にクリアされるので、NAT を利用した通信ができなくなる。
- (conntrack) コネクショントラッキングの kernel モジュールがアンロードされ、それを利用する通信(例: ESTABLISHED,RELATED で許可)ができなくなる。
iptables を使う場合でも、サービス再起動ではなく、個別にルールを追加／削除すればいいのですが、ルールの順序を間違えると、必要な通信ができなくなったり、穴を開けてしまったりする可能性があるため、再起動(全ルール削除→全ルール設定)という方法を採用しているのだと思います。
一方、firewalld では、再起動(全ルール削除→全ルール設定)しなくて済むように、あらかじめ deny 用、allow 用などの chain をたくさん作っておいて、順番を気にせずルールを追加／削除するようにしています。
投稿2020/10/26 06:27
総合スコア12146
あなたの回答
tips
プレビュー
