ファイアーウォールの設定方法

Question

実現したいこと

CentOSサーバーに対し、FFFTPでFTP接続できるIPアドレスを自宅のIPアドレスのみに設定したい。

前提

OS: CentOS Stream 9

現在の設定内容

# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: ens3
  sources:
  services: https ssh
  ports: 10022/tcp 60000-60010/tcp
  protocols:
  forward: yes
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

10022はSSH接続用ポート、60000-60010/tcpはFTP接続用ポートです。

試したこと

現在の設定内容に対し、以下のコマンドを実行。

# firewall-cmd --remove-port=60000-60010/tcp
# firewall-cmd --new-zone=test-zone --permanent
# firewall-cmd --reload
# firewall-cmd --zone=test-zone --add-source={自宅のIPアドレス}/32
# firewall-cmd --zone=test-zone --add-port=60000-60010/tcp
# firewall-cmd  --runtime-to-permanent
# firewall-cmd --zone=test-zone --list-all
test-zone (active)
  target: default
  icmp-block-inversion: no
  interfaces:
  sources: {自宅のIPアドレス}/32
  services:
  ports: 60000-60010/tcp
  protocols:
  forward: no
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

上記設定完了後、FTPでの接続はできましたが、サーバーへのSSH接続、および、httpsでのWEBサイトへのアクセスができなくなりました。ファイアーウォールの設定が「test-zone」のみになったことによると思います。zoneの概念を理解できていないのですが、最初の「public」の設定を生かしつつ、新たに「test-zone」の設定を入れるにはどう設定すればよいでしょうか。publicとは別のzoneを作成し、そちらに元々のpublicの設定内容（httpsやsshなど）を設定するのでしょうか？

Answer 1

バックエンドは nft ですよね。
Source IP アドレスで test-zone ゾーンに分岐した後は public ゾーンには戻りません。
なので、(A) test-zone ゾーンに https, ssh 許可ルールを追加するか、(B) Source IP アドレスで分岐せず、すべて public ゾーンのまま、rich rule で FTP を許可します。

rich rule の設定例:

# firewall-cmd --add-rich-rule="rule family=ipv4 source address={IPアドレス} port port=60000-60010 protocol=tcp accept"

Comments

[sasaki0628]

ありがとうございます。まだ自宅IPアドレス以外での接続確認ができていませんが、設定をすることができました。