FirewallD - Muutoshistoria

Lahtis:

2022-02-18T06:35:40Z

← Vanhempi versio		Versio 18. helmikuuta 2022 kello 09.35
Rivi 126:		Rivi 126:

	Tiedoston tulee olla XML-muodossa, jotta FirewallD osaa parsia sen oikein.		Tiedoston tulee olla XML-muodossa, jotta FirewallD osaa parsia sen oikein.
	<~~source~~ lang="xml">		<syntaxhighlight lang="xml">
	<?xml version="1.0" encoding="utf-8"?>		<?xml version="1.0" encoding="utf-8"?>
	<service>		<service>
Rivi 134:		Rivi 134:
	<port protocol="udp" port="5555"/>		<port protocol="udp" port="5555"/>
	</service>		</service>
	</~~source~~>		</syntaxhighlight>

	Jotta palomuuri näkisi uuden palvelun, tulee se ladata uudelleen:		Jotta palomuuri näkisi uuden palvelun, tulee se ladata uudelleen:

Oselotti (29. maaliskuuta 2016 kello 15.09)

2016-03-29T15:09:19Z

← Vanhempi versio		Versio 29. maaliskuuta 2016 kello 18.09
Rivi 10:		Rivi 10:
	[[Tiedosto:Firewalld ja iptables.png\|right\|thumb\|FirewallD- ja iptables-palvelut juttelevat kernelin netfilter-pakettisuodattimelle iptables-työkalun välityksellä]]		[[Tiedosto:Firewalld ja iptables.png\|right\|thumb\|FirewallD- ja iptables-palvelut juttelevat kernelin netfilter-pakettisuodattimelle iptables-työkalun välityksellä]]

	'''FirewallD''' ('''Dynamic Firewall''') on [[Red Hat]]in kehittämä dynaaminen [[palomuuri]]. FirewallD on dynaamisena palomuurina monipuolisempi ja tehokkaampi verrattuna perinteiseen staattiseen palomuuriin, kuten [[iptables]]. Vanhan tyylisessä staattisessa palomuurissa uudet asetukset otetaan käyttöön käynnistämällä palomuuri uudelleen, jolloin luetaan uudet asetukset. FirewallD sen sijaan sallii asetusten muuttamisen suoraan lennosta. Kuten iptables, myös FirewallD on vain työkalu joka käyttää linux-kernelin [[netfilter]]iä.		'''FirewallD''' (''Dynamic Firewall'') on [[Red Hat]]in kehittämä dynaaminen [[palomuuri]]. FirewallD on dynaamisena palomuurina monipuolisempi ja tehokkaampi verrattuna perinteiseen staattiseen palomuuriin, kuten [[iptables]]. Vanhan tyylisessä staattisessa palomuurissa uudet asetukset otetaan käyttöön käynnistämällä palomuuri uudelleen, jolloin luetaan uudet asetukset. FirewallD sen sijaan sallii asetusten muuttamisen suoraan lennosta. Kuten iptables, myös FirewallD on vain työkalu joka käyttää linux-kernelin [[netfilter]]iä.

	==Asennus==		==Asennus==

Oselotti: kuvaus takaisin

2016-01-02T11:28:17Z

kuvaus takaisin

← Vanhempi versio		Versio 2. tammikuuta 2016 kello 14.28
Rivi 31:		Rivi 31:
	! colspan="2" \| Alueet järjestettynä tiukimmasta sallivimpaan		! colspan="2" \| Alueet järjestettynä tiukimmasta sallivimpaan
	\|-		\|-
	! Alue (''zone'') !!		! Alue (''zone'')
			! Kuvaus
	\|-		\|-
	\| '''drop'''		\| '''drop'''

Oselotti: /* Alueet */

2016-01-02T11:05:47Z

Alueet

← Vanhempi versio		Versio 2. tammikuuta 2016 kello 14.05
Rivi 29:		Rivi 29:
	FirewallD käyttää eri ''alueita'' (engl. ''zones''). Oletusalue on määritelty <tt>/etc/firewalld/firewalld.conf</tt> -tiedostossa.		FirewallD käyttää eri ''alueita'' (engl. ''zones''). Oletusalue on määritelty <tt>/etc/firewalld/firewalld.conf</tt> -tiedostossa.
	{\| class=wikitable		{\| class=wikitable
	! Alue (''zone'')		! colspan="2" \| Alueet järjestettynä tiukimmasta sallivimpaan
	! ~~Kuvaus~~		\|-
			! Alue (''zone'') !!
	\|-		\|-
	\| '''drop'''		\| '''drop'''
Rivi 42:		Rivi 43:
	\|-		\|-
	\| '''external'''		\| '''external'''
	\|		\| Tarkoitettu erityisesti ulkoverkkoihin reitittimiin jotka tekevät osoitteenmuutosta.
	\|-		\|-
	\| '''dmz'''		\| '''dmz'''
Rivi 57:		Rivi 58:
	\|-		\|-
	\| '''trusted'''		\| '''trusted'''
	\| Kaikki yhteydet sallitaan		\| Kaikki yhteydet sallitaan.
	\|}		\|}

Oselotti: /* Alueet */

2016-01-02T10:55:13Z

Alueet

← Vanhempi versio		Versio 2. tammikuuta 2016 kello 13.55
Rivi 39:		Rivi 39:
	\|-		\|-
	\| '''public'''		\| '''public'''
	\| Tarkoitettu julkisiin epäluotettaviin verkkoihin, kuten avoimiin WLAN-verkkoihin~~. Ei~~ luoteta muihin verkon laitteisiin.		\| Tarkoitettu julkisiin epäluotettaviin verkkoihin, kuten avoimiin WLAN-verkkoihin, joissa ei luoteta muihin verkon laitteisiin.
	\|-		\|-
	\| '''external'''		\| '''external'''
	\|
	\|-
	~~\| '''internal'''~~
	\|		\|
	\|-		\|-
Rivi 51:		Rivi 48:
	\|-		\|-
	\| '''work'''		\| '''work'''
	\| Tarkoitettu työpaikan verkkoihin joissa voidaan luottaa pääosin muihin laitteisiin		\| Tarkoitettu työpaikan verkkoihin joissa voidaan luottaa pääosin muihin laitteisiin.
	\|-		\|-
	\| '''home'''		\| '''home'''
	\| Tarkoitettu kodin verkkoihin joissa voidaan luottaa pääosin muihin laitteisiin		\| Tarkoitettu kodin verkkoihin joissa voidaan luottaa pääosin muihin laitteisiin.
			\|-
			\| '''internal'''
			\| Tarkoitettu sisäverkkoihin, joissa voidaan luottaa pääosin muihin laitteisiin.
	\|-		\|-
	\| '''trusted'''		\| '''trusted'''

Oselotti (29. joulukuuta 2015 kello 08.26)

2015-12-29T08:26:25Z

← Vanhempi versio		Versio 29. joulukuuta 2015 kello 11.26
Rivi 17:		Rivi 17:
	==Käyttö==		==Käyttö==
	{{Oikeudet}}		{{Oikeudet}}
	FirewallD:n asetuksia voidaan säätää graafisella <tt>firewall-config</tt>-ohjelmalla tai tekstipohjaisella <tt>firewall-cmd</tt>-ohjelmalla. [[Systemd]] hallitsee FirewallD:tä <tt>firewalld.service</tt>:n avulla, eli FirewallD voidaan käynnistää ~~komennolla~~:		FirewallD:n asetuksia voidaan säätää graafisella <tt>firewall-config</tt>-ohjelmalla tai tekstipohjaisella <tt>firewall-cmd</tt>-ohjelmalla. [[Systemd]] hallitsee FirewallD:tä <tt>firewalld.service</tt>:n avulla, eli FirewallD voidaan käynnistää ja asettaa käynnistymään tietokoneen käynnistyessä komennoilla:
	# systemctl start firewalld.service		# systemctl start firewalld.service
			# systemctl enable firewalld.service

	Lisätietoa systemd:n käytöstä löytyy [[systemd\|systemd:n omasta artikkelista]].		Lisätietoa systemd:n käytöstä löytyy [[systemd\|systemd:n omasta artikkelista]].

Oselotti (29. joulukuuta 2015 kello 08.20)

2015-12-29T08:20:37Z

← Vanhempi versio		Versio 29. joulukuuta 2015 kello 11.20
Rivi 134:		Rivi 134:

	Jotta palomuuri näkisi uuden palvelun, tulee se ladata uudelleen:		Jotta palomuuri näkisi uuden palvelun, tulee se ladata uudelleen:
			# firewall-cmd --reload

			===Alueiden määrittäminen===
			Joissain tapauksissa valmiiksi määritellyt alueet eivät ole riittäviä vaan tarvitaan lisäksi oma alueita. Esimerkiksi omalle aliverkolle voidaan määrittää oma alue. Kun alue määritellään, tehdään se <tt>--new-zone=ALUE</tt> -parametrilla, tähän tarvitaan myös <tt>--permanent</tt> -parametria.
			# firewall-cmd --permanent --new-zone=omaverkko

			Nyt uudelle alueelle voidaan lisätä halutut palvelut ja verkkoliitännät. Palomuurin asetukset tulee ladata uudestaan jotta uusi alue näkyisi nykyisessä istunnossa.
	# firewall-cmd --reload		# firewall-cmd --reload

Oselotti (28. joulukuuta 2015 kello 21.47)

2015-12-28T21:47:53Z

← Vanhempi versio		Versio 29. joulukuuta 2015 kello 00.47
Rivi 117:		Rivi 117:

	Portteja ei tulisi avata turhaan. Yleisesti hyvä tapa on pitää kaikki portit kiinni ja avata niitä vasta tarpeen vaatiessa.		Portteja ei tulisi avata turhaan. Yleisesti hyvä tapa on pitää kaikki portit kiinni ja avata niitä vasta tarpeen vaatiessa.

			===Palveluiden määrittäminen===
			Yksittäisiä portteja avatessa saattaa unohtua mikä portti liittyy mihinkin ohjelmaan. Tämän takia palvelut on kehitetty helpottamaan eri porttien muistamista. Palvelut ovat periaatteessa vain kokoelmia portteja, joille on annettu joku nimi ja kuvaus. Omat palvelut määritellään <tt>/etc/firewalld/services</tt> -hakemistoon. Luodaan esimerkkinä uusi tiedosto <tt>esimerkki.xml</tt>, joka määrittää uuden palvelun.
			# vim /etc/firewalld/services/esimerkki.xml

			Tiedoston tulee olla XML-muodossa, jotta FirewallD osaa parsia sen oikein.
			<source lang="xml">
			<?xml version="1.0" encoding="utf-8"?>
			<service>
			<short>esimerkki</short>
			<description>Tämä palvelu on esimerkki jonka tarkoitus on havainnollistaa palveluiden luomista FirewallD-palomuurille.</description>
			<port protocol="tcp" port="6666"/>
			<port protocol="udp" port="5555"/>
			</service>
			</source>

			Jotta palomuuri näkisi uuden palvelun, tulee se ladata uudelleen:
			# firewall-cmd --reload

	[[Tiedosto:firewall-config 0.3.9.png\|thumb\|none\|500px\|firewall-config on graafinen työkalu FirewallD:n asetusten säätämiseen]]		[[Tiedosto:firewall-config 0.3.9.png\|thumb\|none\|500px\|firewall-config on graafinen työkalu FirewallD:n asetusten säätämiseen]]

Oselotti: /* Portit */

2015-12-28T10:49:28Z

Portit

← Vanhempi versio		Versio 28. joulukuuta 2015 kello 13.49
Rivi 106:		Rivi 106:

	===Portit===		===Portit===
	Joskus tarjolla olevista palveluista ei löydy sopivaa~~, vaan~~ tulee avata halutut portit manuaalisesti itse. Esimerkiksi jos joku oma ohjelma kuuntelisi porttia 5875 ja käyttäisi [[TCP]]-protokollaa, voitaisiin portti avata <tt>--add-port=PORTTI/PROTOKOLLA</tt> -parametrilla.		Joskus tarjolla olevista palveluista ei löydy sopivaa. Tällöin tulee avata halutut portit manuaalisesti itse. Esimerkiksi jos joku oma ohjelma kuuntelisi porttia 5875 ja käyttäisi [[TCP]]-protokollaa, voitaisiin portti avata <tt>--add-port=PORTTI/PROTOKOLLA</tt> -parametrilla.
	# firewall-cmd --zone=public --add-port=5875/tcp		# firewall-cmd --zone=public --add-port=5875/tcp

Oselotti: /* Palvelut */

2015-12-27T20:21:57Z

Palvelut

← Vanhempi versio		Versio 27. joulukuuta 2015 kello 23.21
Rivi 93:		Rivi 93:
	$ firewall-cmd --get-services		$ firewall-cmd --get-services

	Enemmän tietoa yksittäisistä palveluista löytyy <tt>/usr/lib/firewalld/services</tt> -~~tiedostosta~~, jossa eri palvelut ovat [[XML]]-tiedostoissa. Kun halutaan lisätä jokin palvelu haluttuun alueeseen, voidaan se tehdä <tt>--add-service=PALVELU</tt>-parametrilla. Esimerkiksi oletusalueelle voitaisiin avata portti http-palvelimelle näin:		Enemmän tietoa yksittäisistä palveluista löytyy <tt>/usr/lib/firewalld/services</tt> -hakemistosta, jossa eri palvelut ovat [[XML]]-tiedostoissa. Kun halutaan lisätä jokin palvelu haluttuun alueeseen, voidaan se tehdä <tt>--add-service=PALVELU</tt>-parametrilla. Esimerkiksi oletusalueelle voitaisiin avata portti http-palvelimelle näin:
	# firewall-cmd --add-service=http		# firewall-cmd --add-service=http