FirewallD

Wed, 18 Dec 2024 09:00:00 +0900

목표

특정 포트를 포워딩하여 외부 클라이언트가 내부 리소스에 접근 가능하도록 구성
특정 웹사이트에 대한 외부 접속을 방화벽 규칙을 통해 차단

환경 설정

OS: Rocky 8.10

개념 및 설정

FirewallD

firewalld는 내부적으로 iptables를 사용하여 규칙을 관리
iptables 명령으로 추가한 규칙은 firewalld에서 생성한 규칙보다 우선 적용됨
AllowZoneDrifting은 하나의 NI가 여러 Zone에 속한 경우 Zone 간 규칙을 드리프트
- Zone 경계 간 규칙을 느슨하게 만들어 의도치 않은 트래픽 허용 가능성
- 이후 버전에서는 제거될 예정
L4 방화벽이기 때문에 NAT를 통해 ip가 변환되는 공인 ip들은 제어하기 어려움
- firewalld의 한계

작업 과정

1. Firewall 포트포워딩

1) FW1 방화벽 설정

사용자 생성

1
2


useradd -m -G wheel fw1
echo "fw1" | passwd --stdin fw1

패키지 설치

1
2
3
4


sudo dnf update --exclude=kernel* -y

echo "<FW1-IP> FW1" | sudo tee /var/www/html/index.html
sudo systemctl enable --now httpd

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload

2) FW2 방화벽 설정

사용자 생성

1
2


useradd -m -G wheel fw2
echo "fw2" | passwd --stdin fw2

패키지 설치

1
2
3
4


sudo dnf update --exclude=kernel* -y

echo "<FW2-IP> FW2 " | sudo tee /var/www/html/index.html
sudo systemctl enable --now httpd

방화벽 설정

1
2
3


sudo systemctl enable --now firewalld
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload

3) 포트포워딩

방화벽 설정

1
2
3


sudo firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=80:toaddr=<FW2-IP>
sudo firewall-cmd --permanent --add-masquerade
sudo firewall-cmd --reload

포트포워딩 테스트

1
2
3


sudo firewall-cmd --list-all
curl <공인 IP>:8080
curl <공인 IP>:8081

두 curl 모두 FW2 서버가 응답

4) 웹사이트 외부 접속 차단 - rich rule

1. FW2에서 목적지가 FW2 ip인 모든 트래픽 거부

FW2로의 모든 트래픽 거부

1
2
3
4
5
6
7


# FW2 
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" destination address="<FW2-IP>" reject'
sudo firewall-cmd --reload

# 위에서 포트포워딩 했기 때문에 아래 명령어 둘 모두 차단됨
curl <Domain>:8080
curl <Domain>:8081

FW2 ip로의 접속 차단됨

2. 출발지가 FW2 사설 ip인 모든 트래픽 거부

FW1에서 FW2 사설 ip로 포트포워딩된 공인 ip로 요청한다면 차단 안됨
트러블슈팅 참고

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# FW1 포트포워딩 제거
sudo firewall-cmd --permanent --remove-forward-port=port=80:proto=tcp:toport=80:toaddr=<FW2-IP>
sudo firewall-cmd --reload

# FW2 
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="<FW1-IP>" reject’
sudo firewall-cmd --reload

# FW1
curl <Domain>:8080

FW1에서 FW2 사설 ip로의 접속 차단됨

3. FW2에서 목적지가 FW1인 트래픽 거부

트러블슈팅 참고
- iptable 사용

1
2
3
4
5
6
7
8


# FW2 
sudo iptables -I OUTPUT -s <FW2-IP> -d <FW1-IP> -j REJECT

# FW2
# 포트포어딩후 NAT으로 ip가 달라지기 때문에 차단 불가
curl <Domain:8080
# 차단 성공
curl <FW1-IP>

트러블슈팅 참고
- firewalld 사용

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


sudo vi /etc/firewalld/firewalld.conf
AllowZoneDrifting=no

sudo systemctl restart firewalld
sudo firewall-cmd --reload

sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="<FW2-IP>" destination address="<FW1-IP>" reject'
sudo firewall-cmd --reload

# 차단 성공
curl <FW1-IP>

로그 확인 명령어

1
2
3
4
5
6
7
8


# 패킷 캡쳐
sudo tcpdump -i eth0 host <FW1-IP> -n

# Connection Tracking 초기화
sudo conntrack -F

# firewall-cmd --reload 적용시 로그 발생 가능성
sudo tail -f /var/log/messages

트러블슈팅

KT VM에 포트포워딩중인 공인 ip를 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" destination address="공인ip" reject'로 차단 시 여전히 curl <Domain>:8080 이 동작

공인 ip로 요청이 오면 사설 ip로 변환된 후 vm에 전달됨
firewalld는 VM 내부 트래픽에만 영향을 미침
- 따라서 공인 ip를 차단하지 못함

FW2 에서 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="<FW1-IP>" reject’ 로 FW1 ip차단 시 FW1에서 curl <FW2-IP> 은 차단 되지만 curl <Domain>:8081 / curl <공인 IP>:8081 은 차단되지 않음

공인ip:8081은 포트포워딩 되어있기 때문에 kt cloud가 요청이 FW2 에 도달하기 전에 NAT 수행
NAT는 출발지 ip를 공인ip가 아닌 kt cloud에서 자체적으로 사설 ip를 임의로 설정
- firewalld 만으로는 FW2 에 매핑된 공인 ip를 통한 트래픽은 차단하기 어려움
  - sudo tcpdump -i eth0 port 80 -n 명령어로 NAT변환된 ip를 추가 차단하거나
  - zone을 drop으로 변경해서 화이트리스트 방식으로 변경하거나
  - kt가 nat하는 ip의 대역을 전체 차단하거나

FW2 에서 sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" destination address="<FW1-IP>" reject’ 설정 시 curl <FW1-IP> 차단 불가

아웃바운드 트래픽 차단 불가
iptable 명령어 sudo iptables -I OUTPUT -d <FW1-IP> -j ACCEPT 는 정상 작동
/var/log/messages 로그 확인해보니 –reload 시에 WARNING: AllowZoneDrifting is enabled. This is considered an insecure configuration option. It will be removed in a future release. Please consider disabling it now. 로그 발생.
- AllowZoneDrifting 설정 때문에 발생하는 문제로 판단
- firewalld.conf 에 AllowZoneDrifting no로 설정 후 해결

참고

firewalld 사용법: https://www.freekb.net/Article?id=2141

Firewalld on Joonlog

FirewallD

목표

환경 설정

개념 및 설정

FirewallD

작업 과정

1. Firewall 포트포워딩

1) FW1 방화벽 설정

2) FW2 방화벽 설정

3) 포트포워딩

4) 웹사이트 외부 접속 차단 - rich rule

1. FW2에서 목적지가 FW2 ip인 모든 트래픽 거부

2. 출발지가 FW2 사설 ip인 모든 트래픽 거부

3. FW2에서 목적지가 FW1인 트래픽 거부

로그 확인 명령어

트러블슈팅

참고