Как включить firewalld, не нарушая работу приложений?

У меня есть несколько машин с CentOS 7 в одной локальной сети. Каждая из них общается с несколькими другими и имеет одно или несколько приложений, установленных, каждое из которых слушает на различных портах (база данных, веб-сервер, служба балансировки нагрузки и т. д.). Типичные веб-архитектурные вещи.

Сейчас firewalld отключен на всех этих машинах. И я хочу включить его повсюду.

Обычно это происходит так:

1. systemctl enable firewalld
2. systemctl start firewalld
3. firewall-cmd <...> (добавить порты, источники, службы и т. д.)

Проблема в том, что как только я запускаю службу firewalld, по умолчанию он блокирует большую часть моего трафика¹, пока я не смогу выполнить 3-й шаг. И, учитывая большое количество конфигураций (порты, источники), которые мне нужно добавить, мои службы фактически станут недоступны, пока я не разберусь с этим.

Меня больше всего беспокоят некоторые из этих функций:

• Я использую GlusterFS на некоторых машинах для создания сетевой файловой системы, которую затем монтирую на другие машины
• Я использую Corosync+Pacemaker для создания нескольких кластеров между некоторыми из машин; эти инструменты используют различные порты для функциональности, похожей на heartbeat

Если я включу firewalld на этих машинах, он немедленно заблокирует все эти службы, пока я не смогу выполнить мои многочисленные firewall-cmd <...> команды. И я не знаю, к каким последствиям это приведет.

Мой вопрос: Есть способ выполнить 3-й шаг ПЕРЕД 2-м шагом? Чтобы все было готово, когда я включу службу.

Единственная моя идея – это как-то вручную отредактировать XML файлы в папке /etc/firewalld/zones. Но это кажется очень подверженным ошибкам, особенно поскольку я не настолько знаком с firewalld, чтобы быть уверенным в таких правках.

¹ = Насколько я знаю, только порты 80/443 (HTTP/HTTPS) и 22 (SSH) будут открыты, все остальные заблокированы, пока вы не откроете их явно.

Перед тем как начать службу firewalld, вам следует указать параметры через конфигурационные файлы.
Я рекомендую создать файл правил для каждой службы (GlusterFS, Pacemaker…) и поместить в файл все порты, которые вам нужны. Например (для pacemaker, взято из Настройка iptables Firewall для разрешения компонентов кластера) /etc/firewalld/services/pacemaker.xml:

<?xml version="1.0" encoding="utf-8"?>
<service>
  <short>Pacemaker</short>
  <description>Служба Pacemaker</description>
  <port protocol="tcp" port="2224"/>
  <port protocol="tcp" port="3121"/>
  <port protocol="tcp" port="5403"/>
  <port protocol="udp" port="5404"/>
  <port protocol="udp" port="5405"/>
  <port protocol="tcp" port="21064"/>
</service>

Больше информации с примерами вы можете найти на Как настроить брандмауэр с использованием FirewallD на CentOS 7.

Затем вы можете безопасно запустить firewalld.

Если вы боитесь поломать firewalld, редактируя файлы зон вручную, вы можете протестировать в виртуальной среде перед применением в рабочей системе.

Просто добавьте опцию --permanent ко всем вашим правилам, например:

firewall-cmd --zone=trusted --add-port=1234/tcp --permanent

Это зарегистрирует правила в постоянной конфигурации, но не применит их, пока вы не выполните команду

firewall-cmd --reload

Кстати, это рекомендованный способ работы с firewalld; если вы не используете опцию --permanent, изменения будут применены временно и будут стерты при следующей перезагрузке или перезапуске брандмауэра.

В наши дни большинство продуктов больше не документируют свои сетевые протоколы, поэтому вам придется выяснить, что происходит, прежде чем начинать настройки брандмауэра.

Например, чтобы увидеть все TCP-сокеты, которые слушают, вы можете использовать ss -tln (TCP, слушающие, неразрешенные):

# ss -tln
State    Recv-Q   Send-Q     Local Address:Port     Peer Address:Port  Process
LISTEN   0        128              0.0.0.0:22            0.0.0.0:*
LISTEN   0        100            127.0.0.1:25            0.0.0.0:*
LISTEN   0        100                [::1]:25               [::]:*
LISTEN   0        128                 [::]:22               [::]:*

Так как список может быть намного длиннее, вы также можете отфильтровать по процессам, использующим сокеты, добавив опцию -p:

# ss -tlnp
State   Recv-Q   Send-Q     Local Address:Port     Peer Address:Port  Process
LISTEN  0        128              0.0.0.0:22            0.0.0.0:*      users:(("sshd",pid=10392,fd=3))
LISTEN  0        100            127.0.0.1:25            0.0.0.0:*      users:(("master",pid=1876,fd=13))
LISTEN  0        100                [::1]:25               [::]:*      users:(("master",pid=1876,fd=14))
LISTEN  0        128                 [::]:22               [::]:*      users:(("sshd",pid=10392,fd=4))

Вам следует перекрестно проверить существующие соединения, исключив опцию -l.

(UDP – это другой протокол, который стоит рассмотреть)

Когда закончите, организуйте порты и протоколы по приложениям и определите службы для каждого (если их еще нет).

Вы также можете определить “супер услуги”, которые включают в себя другие службы. Например, приложение использует веб-сервер и сервер базы данных, поэтому вы можете определить две службы для базы данных и веба, а затем включить обе в приложение.

Поскольку другие вопросы касаются определенияFirewall служб, я не буду повторять ответы здесь.