Firewalldの仕様について

現在CentOS7のFIrewalldの検証を行っており、
以下の疑問を持っています。

◆疑問
Firewalldはステートフルインスペクション機能が無いのか？
（戻り通信も許可設定を行わないといけないのか？）
FW機能を持ったNW機器でも、機能がないものがあるため、Firewalldは
どちらかを調査したく以下の検証を行いました。

◆検証内容
Window端末にOracleVMで仮想マシンを立て、
CentOS7を導入しました。
そのCentOS7のfirewalldにて以下の設定を行いました。
（ダイレクトルールを使用しています。また、設定後は毎回firewall-cmd --reloadを実施しています。）

①
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 1 -p tcp -s <windows端末IP> -m state --state NEW,ESTABLISHED,RELATED -d <CentOS7IP> --dport 22 -j ACCEPT

②
firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 200 -j DROP

ステートフルインスペクション機能があれば、
①＋②の設定でもSSH通信できると考えていましたが、不可でした。
（①のみの時はSSH通信可能であることは確認済です。）

また、①+②の設定に以下を追加してみました。

③
firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 2 -p tcp -s <windows端末IP> --sport 22 -j ACCEPT

④
firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 2 -p tcp -s <windows端末IP> --sport 22 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

①+②+③はSSH通信成功し、①+②+④は失敗しました。

◆考察
検証結果より、現時点ステートフルインスペクション機能は無いのでは？と考えていますが、以下の疑問が残っています。

別サイト記事でfirewalldは「ステートフルパケットインスペクション」が可能という記事を見つけましたが、「ステートフルインスペクション」とは別物であると考えたほうがいいのでは？と考えております。

また、firewall-cmdコマンド内のstateモジュールが適切に使用できているかが少し自信がないため、有識者にアドバイス頂きたいと考えています。

◆対象の別サイト記事
http://itpro.nikkeibp.co.jp/atcl/column/14/072400026/072400001/

以上になります。
お手数ですが、アドバイスをお願いいたします。

t_obara

2017/02/10 08:33

http://www.atmarkit.co.jp/ait/articles/1001/06/news101.html　こちらを参考に試されてはいかがでしょうか。

行動規範の内容に同意します

回答2件

ベストアンサー

direct ルールで OUTPUT チェインに DROP のルールを設定するのであれば、その前に inbound で受け取ったパケットの戻りパケットを許可するルールが必要と思います。

firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 -m state --state ESTABLISHED,RELATED -j ACCEPT

firewalld は iptables のラッパーのようなもので、ある程度、ルールの順番を意識しなくてもいいような枠組みです。
また、firewalld の初期設定では、inbound に対する戻りは OUTPUT チェインで全許可し、outbound に対する戻りは INPUT チェインの最初のルールで ESTABLISHED,RELATED を許可しているので、「戻りパケットのルールを設定しなくてよい」→「ステートフル」につながるのだと思います。

ただし、direct ルールを利用するのであれば、firewalld の枠組みから外れるので、ルールの順番や戻りパケットを意識する必要があります。

投稿2017/02/10 09:30

TaichiYanagiya

総合スコア12173

pacokio

2017/02/13 07:03

ご回答ありがとうございます。問題については自己解決しました。お恥ずかしい話ですが、③、④のコマンドが正しく動作していなかったのが原因だったようです。また、回答いただいた内容で、Firewalldの仕様をまとめることが出来たと思っています。ありがとうございます。つまりは、Firewalldの仕様だけで言うと「ステートフルではない」が答えになり、 OUTPUT設定を基本は行わないという方針とすることでステートフルといっているだけと理解しました。実際の検証結果を見ている限り間違いなさそうです。

行動規範の内容に同意します