インストール後の初期設定(CentOS8.4)

ファイヤーウォールについての説明

RHEL/CentOS8においては、「firewalld」「nftables」「iptables」・・・という3種類のパケットの制御方法があります。
そして、この3種類のものを同時に立ち上げると、わけわからんことになるので、どれか1つを使いましょうということらしいです。
　→　https://access.redhat.com/documentation/ja-jp/red_hat_enterprise_linux/8/html/configuring_and_managing_networking/using-and-configuring-firewalld_configuring-and-managing-networking

時代の流れで、「iptables」だけの時代から、変化があった様子で、調べたことを以下に記載します。
・Linuxは、「iptables」を使ってパケットの制御をしていた。
・「iptables」を使いやすくするためのツール、「firewalld」が追加される。
・「iptables」から、改良した「nftables」に置き換えが行われる（「iptables」のコマンド自体は使える状態だが、実体は「nftables」）
・「firewalld」も「iptables」ではなく、「nftables」を使うように変更。
という感じの様子。
なので、現在のRHEL8/CentOS8では、パケットの制御には「nftables」が使われており、それの簡単設定ツールである「firewalld」もある・・・という状態。
「iptables」だけを使いたいなぁ・・・というケースも、「firewalld」のサービスを停止してしまえば、「iptables」のコマンド自体は残してあるので、昔から使っているコマンドも使えますよ・・・ということらしい(たぶん)。

ここでは「firewalld」を使った設定についてを扱います。

firewalldの基本

firewalldは、zoneというルールの集合に対し、ネットワークインターフェイスを関連付けて、通信を制御している様子。
最初からいくつかのzoneが作成されており、、詳細は以下のコマンドで見ることができます（自分でzoneを追加することも可能）。
「firewall-cmd --list-all-zones」を実行すると、zone等の情報を全部表示することができます（出力結果が長いので、実行結果は省略）。
なお、「firewalld」は、着信の接続（外部から自分にアクセスしてくる）を制御しますが、自分自身から外へ通信をする時の制御は、zoneの設定では行われません(無制限に外にアクセスできる)。
なので、外へアクセスも制御したい場合は「ダイレクトルール」というものを使用することになっています。

デフォルトでは、「public」というzoneが、PCのあるネットワークインターフェイスに適用されていいます。
「public」は、選択した着信接続のみが許可されます・・・という状態のルールになっているらしい。
基本的には、これで良いはず（それ以外のルールが使用したくなった時に、別途調査しようと思います・・・）。

[root@miranda ~]# firewall-cmd --get-zones　←zoneの一覧を表示
block dmz drop external home internal libvirt nm-shared public trusted work
[root@miranda ~]# firewall-cmd --get-default-zone　←デフォルトで使用するzoneを表示
public
[root@miranda ~]# firewall-cmd --list-all --zone=public　←「public」というzoneの詳細を表示
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: br0 enp3s0　←このzoneで使用するネットワークインターフェイスが表示されている（環境によって表示されるものは異なる）
  sources:
  services: cockpit dhcpv6-client ssh　←通信を許可するサービスの一覧が表示されている
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
[root@miranda ~]#

上記の「services」で表示されているサービス名ですが、これは「/usr/lib/firewalld/services/」以下にxmlファイルがあり、こちらで定義されています（1サービス、1つのxmlファイル）。
全部が網羅されているわけではないので、新たにserviceを追加することも可能です。
xmlを手動で作成するわけではなく、「firewall-cmd」コマンドに引数を色々渡して設定を行う感じです。
(作り方は、どこかで触れます・・・)

通信を許可するserviceを追加/削除する

通信を許可するserviceを追加・・・は、portに穴を開けるということです。
逆に、通信を許可するserviceを削除は、穴を開けていたportを閉じる・・・ですね。
特定のIPアドレスの、特定portの通信のみ許可は、以下の方法では出来ません。
これは、「リッチルール」というものを使う必要があります。
オプションに「--permanent」をつけていますが、これを付けない場合、OSを再起動すると設定が消えてしまいます。
また、設定変更後に「firewall-cmd --reload」を行わないと、設定が有効になりません。

通信を許可するserviceを追加してみます。
以下はhttp(80番ポート。service名とポート番号の対応は「/usr/lib/firewalld/services/」の中のファイルを見るしかない)の通信を許可します。

[root@localhost ~]# firewall-cmd --add-service=http --zone=public --permanent　←publicというzoneに、httpを追加
success
[root@localhost ~]# firewall-cmd --reload　←reloadの実行
success
[root@localhost ~]# firewall-cmd --list-all --zone=public --permanent　←恒久設定されている現在の設定を表示
public
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: cockpit dhcpv6-client http ssh　←httpが追加されている
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
[root@localhost ~]#
success

逆に、今度は削除してみます。
以下の例では、先ほど追加したhttpを削除しています。

[root@localhost ~]# firewall-cmd --remove-service=http --zone=public --permanent　←publicというzoneから、httpを削除
success
[root@localhost ~]# firewall-cmd --reload　←reloadの実行
success
[root@localhost ~]# firewall-cmd --list-all --zone=public --permanent　←恒久設定されている現在の設定を表示
public
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: cockpit dhcpv6-client ssh　←httpが消えている
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

プロセスが使っているポートを表示する

「lsof」コマンドは、ファイルを使っているプロセスを調べたりなど色々できます。
「-i」オプションを付けると、ソケットの一覧を表示させることができます。
全プロセスを表示させたい場合、root権限が必要になります。
ちなみに、「-P」を追加すると、ポート番号がサービス名ではなく、単純に番号として表示してくれます。

[root@localhost ~]# lsof -i　←プロセスが使用しているポートの一覧を表示する
COMMAND    PID   USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
systemd      1   root   41u  IPv4  18956      0t0  TCP *:sunrpc (LISTEN)
systemd      1   root   42u  IPv4  18957      0t0  UDP *:sunrpc
systemd      1   root   43u  IPv6  18958      0t0  TCP *:sunrpc (LISTEN)
systemd      1   root   44u  IPv6  18959      0t0  UDP *:sunrpc
rpcbind    712    rpc    4u  IPv4  18956      0t0  TCP *:sunrpc (LISTEN)
rpcbind    712    rpc    5u  IPv4  18957      0t0  UDP *:sunrpc
rpcbind    712    rpc    6u  IPv6  18958      0t0  TCP *:sunrpc (LISTEN)
rpcbind    712    rpc    7u  IPv6  18959      0t0  UDP *:sunrpc
avahi-dae  749  avahi   15u  IPv4  23124      0t0  UDP *:mdns
avahi-dae  749  avahi   16u  IPv6  23125      0t0  UDP *:mdns
avahi-dae  749  avahi   17u  IPv4  23129      0t0  UDP *:41439
avahi-dae  749  avahi   18u  IPv6  23130      0t0  UDP *:41430
chronyd    765 chrony    6u  IPv4  23139      0t0  UDP localhost:323
chronyd    765 chrony    7u  IPv6  23140      0t0  UDP localhost:323
sshd       816   root    5u  IPv4  24882      0t0  TCP *:ssh (LISTEN)
sshd       816   root    7u  IPv6  24884      0t0  TCP *:ssh (LISTEN)
cupsd      819   root    9u  IPv6  24047      0t0  TCP localhost:ipp (LISTEN)
cupsd      819   root   10u  IPv4  24048      0t0  TCP localhost:ipp (LISTEN)
xrdp-sesm 1045   root    9u  IPv4  26123      0t0  TCP localhost:findviatv (LISTEN)
xrdp      1046   root   11u  IPv4  26126      0t0  TCP *:ms-wbt-server (LISTEN)

ポートスキャン(nmap)

対象のサーバーに対し、どのポートがOPENされているかチェックしてみます。
※ポートスキャンは、自分が所持しているサーバーだけを対象に実行します。他人のサーバーを対象に実行はしません（攻撃とみなされることがあります・・・）。
ここでは、nmapというツールを使用します。
nmapはデフォルトでは1000個ほどのポートにたいして、ポートスキャンを行います(あらゆるポート(0-65535)に対して実行したい場合は、別途オプション指定する必要があります)。
UDPも調査したい場合は、別途オプションを追加する必要有り（後述）。

まず、nmapのインストールを以下のコマンドで行います。

dnf install nmap

nmapには、色々なオプションがあります。
ここでは、以下のオプションを使います。
「-sS」　→　TCPを対象にポートスキャンする(TCPのパケットを投げるときの方式の指定。「TCP SYNスキャン」というデフォルトの方式を指定)。
「-sU」　→　UDPを対象にポートスキャンする。
IPアドレス「192.168.11.42」のサーバーにたいして、このサーバー自身にログインしてnmapを実行したときと、外部のサーバーから「192.168.11.42」へnmapを実行したときの例を以下に示します。

以下は、IPアドレス「192.168.11.42」のサーバにログインし、自分自身へnmapを実行した結果です。
内側からの通信について、特に何も制御していない状態のため、「1994 closed ports」と表示されています。
「closed」というステータスは、ポートはOPENだが、そのポートで待ち受けをしているプロセスがいない・・・という状態です。

root@localhost ~]# nmap -sS -sU  localhost　←自分自身へnmapを実行
Starting Nmap 7.70 ( https://nmap.org ) at 2021-12-19 15:47 JST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.0000030s latency).
Other addresses for localhost (not scanned): ::1
Not shown: 1994 closed ports　←closedとなっているところがポイント
PORT     STATE         SERVICE
22/tcp   open          ssh
111/tcp  open          rpcbind
631/tcp  open          ipp
3389/tcp open          ms-wbt-server
111/udp  open          rpcbind
5353/udp open|filtered zeroconf　←openなのかフィルタされているのか、nmapからは判別不能な状態

Nmap done: 1 IP address (1 host up) scanned in 4.07 seconds

次に、上記でnmapを行ったサーバー(IPアドレスが192.168.11.42)に対し、別のサーバーからnmapを実行してみます。
同じサーバーにたいして内部で実行するのと、外部で実行するのとでは、結果が異なるのが分かります。
実行してから終わるまで約20分程度かかりました。
(UDPも対象にいれているので、時間がかかります)

[root@miranda ~]# nmap -sS -sU  192.168.11.42　←「192.168.11.42」に対し、nmapを実行
Starting Nmap 7.70 ( https://nmap.org ) at 2021-12-19 15:18 JST
Nmap scan report for 192.168.11.42
Host is up (0.00014s latency).
Not shown: 1997 filtered ports　←filteredとなっているところがポイント
PORT     STATE  SERVICE
22/tcp   open   ssh
80/tcp   closed http
9090/tcp closed zeus-admin
MAC Address: 52:54:00:77:EC:AF (QEMU virtual NIC)

Nmap done: 1 IP address (1 host up) scanned in 1019.22 seconds

サーバーの外からチェックしてみると、「22/tcp」「80/tcp」「9090/tcp」の３つが応答を返している様子です。
続いて、firewalldの設定との整合性を見ていきたいと思います。
firewalldの設定としては、以下の状態でnmapを実行しました。

[root@localhost ~]# firewall-cmd --list-all --zone=public --permanent
public
  target: default
  icmp-block-inversion: no
  interfaces:
  sources:
  services: cockpit dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

なので、OPENになっているのは「cockpit」「dhcpv6-client」「ssh」の3つです。
それぞれ、調べたことを記載します。

ダイレクトルール(外への通信の制御)

自分のサーバーから外への通信の制御はfirewalldのzone設定では制御されません。
そのため、ダイレクトルールという物を使用します(何がダイレクトなのかというと・・・コマンドがiptablesのソレだから・・・という意味だと思います)。
ダイレクトルールを使うと、INPUTもOUTPUTも、iptablesのように設定が可能です。
ここでは、OUTPUTの通信を制御する設定を追加してみます。

以下のようにcurlコマンドを使って、インターネット上のファイルの取得が、可能な状態です。

[root@localhost ~]# curl https://alctail.sakura.ne.jp/css/common/diary.css　←webサイトからファイルを取得
@charset "UTF-8";

/* 段落の行間を設定（文章の段落用） */
p.diaryPara {
        margin: 1em 0em;
        padding: 0em 0em;
        text-indent: 1em;
}[root@localhost ~]# firewall-cmd --direct --get-all-rules　←現在のダイレクトルールの一覧を表示
[root@localhost ~]#　←ダイレクトルールは0個なので、何も表示されない

これをfirewalldのダイレクトルールで、https通信(port番号443)を出来ないように設定してみます。
以下のコマンドを実行します。
実行後、「/etc/firewalld/direct.xml」に設定した内容が出力されます。

[root@localhost ~]# firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 1 -m state --state NEW -m tcp -p tcp --dport 443 -j DROP
success
[root@localhost ~]# firewall-cmd --reload　←設定を有効にするため、リロード
success
[root@localhost ~]# iptables -L --line-numbers　←iptablesのコマンドを使って、設定を表示
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination
1    DROP       tcp  --  anywhere             anywhere             state NEW tcp dpt:https

上記の設定で、https通信がfirewalldによってdropされるはずです。
再度curlでファイル取得を行ってみます(dropしているので、クライアントに応答を返しません。なので、タイムアウト時間を5秒という設定でファイルを取得)。

[root@localhost ~]# curl -m 5 https://alctail.sakura.ne.jp/css/common/diary.css
curl: (28) Connection timed out after 5000 milliseconds
[root@localhost ~]#

といった感じでルールを追加できます。
ちなみに、上記で追加したルールは、以下のコマンドで削除可能です。

[root@localhost ~]# firewall-cmd --permanent --direct --remove-rule ipv4 filter OUTPUT 1 -m state --state NEW -m tcp -p tcp --dport 443 -j DROP
success
[root@localhost ~]# firewall-cmd --reload
success
[root@localhost ~]# iptables -L --line-numbers　←削除したので、なにも表示されていない
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination
[root@localhost ~]#

cockpit

「cockpit」というOSをブラウザから操作できるソフトウェアがCentOSでは、インストールされた状態になります（OSインストール時のパッケージの選択次第では入らないときもある）。
使わない場合は、不要なのでアンインストールしておきます。

dnf remove cockpit

アンインストールしても、firewallの設定値が残ったままなので、そちらも削除します。

[root@miranda ~]# firewall-cmd --remove-service=cockpit --zone=public --permanent
success
[root@miranda ~]# firewall-cmd --reload
success
[root@miranda ~]# firewall-cmd --list-all --zone=public
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: br0 enp3s0
  sources:
  services: dhcpv6-client ssh　←cockpitが消えているのでOK
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

firewalldの設定削除

初期の状態ではSSHのみ受け付けるように設定を行いたいです。
なので、OPENしているサービスで、使わないものを、設定から削除していきます。

[root@miranda ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: br0 enp3s0
  sources:
  services: dhcpv6-client ssh　←ここにでてくるものを「ssh」だけにしたい
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

「services」のところに、「dhcpv6-client」「ssh」と2つ表示されています（環境によってはもっとある）。
これを1個づつ消していきます。
削除方法はこちらを参照。

ホスト名の設定

コマンドで設定することが推奨されています(はず)。
以下のコマンドで、サーバーの名前を「miranda」に変更します。
/etc/hostnameファイルを見ると、ホスト名が指定したものに設定されていることが分かると思います（teratermを接続しなおすとホスト名が設定したものが出てくるはず）。

[root@localhost ~]# hostnamectl set-hostname miranda