在过去，我有一个使用libvirt / KVM和IPtables的虚拟机pipe理程序，以便通过IPv4上的NAT（在iptables中转发和伪装don）并直接在IPv6（libvirt中configuration的路由networking）上使虚拟机可达。 （例1）。 因为我想切换到CentOS 7，现在默认使用firewalld，我认为使用firewalld而不是iptables是合理的。 我可以使用firewalld作为“drop in replacement”用于这个目的，还是libvirt有限制或问题？
我遇到了一些奇怪的行为，防火墙有3个接口，当使用永久分配规则的区域接口 重新启动后，它会跳回到默认区域（在firewalld中设置为默认区域） firewall-cmd –permanent –zone=external –add-interface=eno16777736 要么 firewall-cmd –permanent –zone=internal –change-interface=eno16777736 他们似乎没有工作….
我已经configurationnat，使我的CentOS 7成路由器。 我用firewalld来做到这一点。 但不幸的是，它不工作。 我不知道是什么原因引起的问题。 我在Virtual Box中尝试了相同的configuration，它正在工作。 如果我在生产服务器上做了相同的configuration，它没有。 eth0 ip-我的静态ip 面具255.255.252.0 网关 – 我的ISP网关 ETH1 IP-192.168.1.30 面具255.255.255.0 1）启用分组转发 vi /etc/sysctl.conf added “net.ipv4.ip_forward=1” sysctl –p 2）在firewalld中configurationNAT i）将接口“eth1”集成到内部区域 Firewall-cmd –change-interface=eth1 –zone=internal –permanent •伪装在默认情况下“closures” ii）将接口“eth0”集成到外部区域 Firewall-cmd –change-interface=eth0 –zone=external –permanent iii）将“内部区域”更改为默认区域 Firewall-cmd –set-default-sone=internal –permanent iv）添加了DNS来通过“内部区域” Firewall-cmd –zone=internal –add-service=dns –-permanent 3）保存防火墙configuration Firewall-cmd –reload Firewall-cmd –complete-reload 4）也尝试在iptables Iptables –t nat –A […]
问题1 我有我很长的列表1500+ ips在一个文件可以说/etc/blocklist.ips每个IP在一行的文件。 我怎样才能从文件中的每个IP与从centos 7 firewalld？ 我也一直在寻找/ firewald文件夹中的.xml文件，所以这意味着我应该在.xml文件中创build我的阻止列表？ 问题2 Bevering Firewalld停止doens't意味着用firewalld创build的规则是不是在iptables的权利？ 问题3 Flushing iptables也将删除firewalld上的所有内容？
我已经在公司局域网内的服务器上设置了基本的tomcat网站（tomcat 8.0.3）。 从我的工作电脑，如果我尝试访问该网站通过在谷歌浏览器中键入它不工作。 运行Tomcat服务器的计算机的IP是192.1xx.132.125:8080 。 我的工作电脑的IP是192.1xx.129.75 。 我能ping我的工作电脑到服务器。 如果我在我的PC上的谷歌Chrome浏览器上inputhttp://192.1xx.132.125:8080 ， http://192.1xx.132.125:8080出现以下错误。 有人可以指出为什么发生这种情况？ 另外我的networking服务器是无头的。我可以使用curl访问该服务器上的网页。 由于这是一个非传统的端口号，我是否需要更新我的服务器上的IP表？ 我已经运行这个命令 sudo iptables -A INPUT -m state –state NEW -m tcp -p tcp –dport 8080 -j ACCEPT -m comment –comment "Tomcat Server port" 如http://serverfault.com/questions/341804/opening-up-port-8080-in-centos
介绍 在我的数据库服务器（CentOS 7）上，我想允许从特定的Web前端访问port 3306 （MySQL）（在我的例子中是10.10.40.6和10.10.40.7 ）。 最重要的是，我想允许从所有主机访问port 22 （SSH）。 我通过编辑/etc/firewalld/zones/的XML区域文件来pipe理我的configuration，因此我可以轻松地将它们分发到不同的系统。 组态 这是我的区域configuration： <?xml version="1.0" encoding="utf-8"?> <zone> <short>DB Host</short> <description>Communication to SSH and MySQL.</description> <interface name="eth0"/> <rule family="ipv4"> <port port="22" protocol="tcp"/> <accept/> </rule> <rule family="ipv4"> <source address="10.10.40.6,10.10.40.7"/> <port port="3306" protocol="tcp"/> <accept/> </rule> </zone> 问题 当我从我的web前端扫描机器时，我可以看到port 3306是打开的，但是port 22仍然是closures的： Starting Nmap 6.40 ( http://nmap.org ) at 2015-05-05 16:21 […]
我有centos7与virtualmin安装。 我想阻塞端口22，所以我打开另一个端口（例如1050）的SSH。 这就是我所做的。 vi /etc/ssh/sshd_config 例如，将端口22更改为端口1050 yum install firewalld systemctl unmask firewalld sudo systemctl start firewalld sudo firewall-cmd –zone=public –add-port=1050/tcp –permanent sudo firewall-cmd –reload service sshd restart systemctl enable firewalld 一切都很好，因为SSH端口在1050上工作，但我不能访问服务器上的任何网站，也不是在浏览器中加载virtualmin，但后来我意识到，我需要添加服务，所以我这样做： firewall-cmd –permanent –zone=public –add-service=http firewall-cmd –permanent –zone=public –add-service=https sudo firewall-cmd –zone=public –add-port=80/tcp –permanent sudo firewall-cmd –zone=public –add-port=443/tcp –permanent sudo firewall-cmd –zone=public –add-port=10000/tcp –permanent sudo […]
我想在由source定义的区域中启用ICMP echo-reply。 我有一个区域监视我想要允许一些服务，如mysql和echo-reply。 允许像mysql这样的服务很简单，但我不知道如何在不使用直接规则的情况下启用echo-reply。 可能吗？ 主接口使用BLOCK区域，因此在不属于区域监控的情况下，ICMP主机禁止的数据包将被拒绝。 谢谢
我从centos / epel安装了最新的fail2ban我已经在jail.local中添加了ssh启用选项。 我已经尝试了行动和baxction = firewallcmd-ipset没有任何区别。 iptables-multi最初是在configuration中，我改变了，我发现它不禁止。 我已经尝试列出iptables规则以及firewall-cmd –list-all-zones，没有列出任何东西。 禁令也有一些已经被禁止的信息。 通知[sshd] 61.174.51.204已被禁止
以前我有一个CentOS 6.5与Iptables和我configuration一些监狱为Nginx的build议在这里： 如何使用Nginx的fail2ban？ 。 但现在我在CentOS 7中，试图使用新的防火墙和最新的fail2ban。 我知道有一个新的firewallcmd-ipset.conf 。 但是我想知道上面的链接的代码应该如何适应新的防火墙和新的fail2ban。 看着firewallcmd-ipset.conf它似乎也期望variablesport和name 。 所以也许就像用firewallcmd-ipsetreplaceiptables-multiport一样简单。 思考？ 提前致谢，