Ero sivun ”FirewallD” versioiden välillä
Siirry navigaatioon
Siirry hakuun
ei muokkausyhteenvetoa
Ei muokkausyhteenvetoa |
Ei muokkausyhteenvetoa |
||
| Rivi 25: | Rivi 25: | ||
$ firewall-cmd --state | $ firewall-cmd --state | ||
=== | ===Alueet=== | ||
FirewallD käyttää ''alueita'' (''zones'') | FirewallD käyttää eri ''alueita'' (engl. ''zones''). Oletusalue on määritelty <tt>/etc/firewalld/firewalld.conf</tt> -tiedostossa. | ||
{| class=wikitable | |||
! Alue (''zone'') | |||
! Kuvaus | |||
|- | |||
| '''drop''' | |||
| Alimman luottamustason alue. Kaikki sisääntulevat yhteydet pudotetaan ilman vastausta. Ainoastaan ulospäin menevät yhteydet sallitaan. | |||
|- | |||
| '''block''' | |||
| Samankaltainen kuin '''drop''', mutta sisääntuleviin yhteyksiin vastataan <tt>icmp-host-prohibited</tt> tai <tt>icmp6-adm-prohibited</tt> -viestillä. | |||
|- | |||
| '''public''' | |||
| Tarkoitettu julkisiin epäluotettaviin verkkoihin, kuten avoimiin WLAN-verkkoihin. Ei luoteta muihin verkon laitteisiin. | |||
|- | |||
| '''external''' | |||
| | |||
|- | |||
| '''internal''' | |||
| | |||
|- | |||
| '''dmz''' | |||
| Käytetään laitteissa jotka sijaitsevat [[wikipedia:fi:Demilitarisoitu alue (tietotekniikka)|DMZ-alueella]]. | |||
|- | |||
| '''work''' | |||
| Tarkoitettu työpaikan verkkoihin joissa voidaan luottaa pääosin muihin laitteisiin | |||
|- | |||
| '''home''' | |||
| Tarkoitettu kodin verkkoihin joissa voidaan luottaa pääosin muihin laitteisiin | |||
|- | |||
| '''trusted''' | |||
| Kaikki yhteydet sallitaan | |||
|} | |||
===Alueiden tarkastelu=== | |||
Käytössä oleva oletusalue saadaan komennolla: | |||
$ firewall-cmd --get-default-zone | $ firewall-cmd --get-default-zone | ||
| Rivi 39: | Rivi 73: | ||
$ firewall-cmd --list-all-zones | $ firewall-cmd --list-all-zones | ||
=== | ===Alueiden hallinta=== | ||
Oletuksena kaikki verkkoliitännät lisätään oletusalueen alle, yleensä tämä oletusalue on <tt>public</tt>. Usein kuitenkin halutaan lisätä oma koti- tai työverkko sallivammalle alueelle. Erityisen kätevä ominaisuus tämä on esimerkiksi kannettavien tietokoneiden kanssa, jotka liitetään usein avoimiin WLAN-verkkoihin julkisilla paikoilla. Epäluotettaville verkoille, joissa saattaa olla vihamielisiä laitteita, tulee käyttää tiukempia asetuksia, kuten esimerkiksi <tt>drop</tt> -aluetta, joka pudottaa kaikki sisääntulevat yhteydet suoraan ilman vastausta. | Oletuksena kaikki verkkoliitännät lisätään oletusalueen alle, yleensä tämä oletusalue on <tt>public</tt>. Usein kuitenkin halutaan lisätä oma koti- tai työverkko sallivammalle alueelle. Erityisen kätevä ominaisuus tämä on esimerkiksi kannettavien tietokoneiden kanssa, jotka liitetään usein avoimiin WLAN-verkkoihin julkisilla paikoilla. Epäluotettaville verkoille, joissa saattaa olla vihamielisiä laitteita, tulee käyttää tiukempia asetuksia, kuten esimerkiksi <tt>drop</tt> -aluetta, joka pudottaa kaikki sisääntulevat yhteydet suoraan ilman vastausta. | ||
| Rivi 83: | Rivi 117: | ||
Portteja ei tulisi avata turhaan. Yleisesti hyvä tapa on pitää kaikki portit kiinni ja avata niitä vasta tarpeen vaatiessa. | Portteja ei tulisi avata turhaan. Yleisesti hyvä tapa on pitää kaikki portit kiinni ja avata niitä vasta tarpeen vaatiessa. | ||
[[Tiedosto:firewall-config 0.3.9.png|thumb|none|500px|firewall-config on graafinen työkalu FirewallD:n asetusten säätämiseen]] | [[Tiedosto:firewall-config 0.3.9.png|thumb|none|500px|firewall-config on graafinen työkalu FirewallD:n asetusten säätämiseen]] | ||