Firewalldの詳細制御を検討しておりまして、以下の問題に突き当たっております
■前提定義
・ゾーンは一切不使用
・ゾーン不使用と記載しましたが、正確には全標準ゾーンをDROPとする
⇒標準のpublic(active)もtargetをDROPにする
・ダイレクトルールでINPUT/OUTPUTを必要に応じて解放する
・バックエンドはnftables
■ダイレクトルール内容
ipv4 filter INPUT 1000 -i lo -j ACCEPT
ipv4 filter INPUT 1001 -i ens160 -s <ens160のIP>/32 -j ACCEPT
ipv4 filter INPUT 1002 -i ens224 -s <ens224のIP>/32 -j ACCEPT
ipv4 filter INPUT 1005 -m state --state RELATED,ESTABLISHED -j ACCEPT
ipv4 filter INPUT 1020 -m state --state NEW -p icmp --icmp-type echo-request -j ACCEPT
ipv4 filter INPUT 2001 -i ens224 -s <ens160のIP>/32 -m state --state NEW -m tcp -p tcp --dport=22 -j ACCEPT
ipv4 filter INPUT 2003 -i ens160 -s <ens160のIP>/32 -m state --state NEW -m tcp -p tcp --dport=80 -j ACCEPT
ipv4 filter INPUT 2005 -i ens160 -s <ens160のIP>/32 -m state --state NEW -m tcp -p tcp --dport=20:21 -j ACCEPT
ipv4 filter INPUT 9998 -m tcp -p tcp -j DROP
ipv4 filter INPUT 9999 -m udp -p udp -j DROP
ipv4 filter OUTPUT 1000 -o lo -j ACCEPT
ipv4 filter OUTPUT 1005 -m state --state RELATED,ESTABLISHED -j ACCEPT
ipv4 filter OUTPUT 1006 -m state --state NEW -p icmp --icmp-type echo-request -j ACCEPT
ipv4 filter OUTPUT 9998 -m tcp -p tcp -j DROP
ipv4 filter OUTPUT 9999 -m udp -p udp -j DROP
public(active)
target: DROP
icmp-block-inversion: no
interfaces: ens160 ens224
sources:
services:
ports:
protocols:
forward: no
masquerade: no
forward-ports:
source-ports:
icmp-blocks:
rich rules:
とした場合、ダイレクトルールが優先されず、何故かpublicゾーンのターゲットポリシーのDROPが
優先されてしまいます。もちろん、ACCEPTに戻せばダイレクトルールの指定範囲で正常稼働します。
また、バックエンドをnftablesからiptablesにすることでも正常稼働します。
nftables/iptablesの概念が異なるという点は認識しています(具体的に何がどう違うという点は流石
に調べ切れておりませんが・・・)。
https://firewalld.org/documentation/man-pages/firewalld.direct.html
のCaveatsがその辺の意図した記述なのかと思うのですが、ビシッと当てはまる項目が無いため困惑
しております(上記のCaveatsで最後の方にあるfirewalld's top-level internal rulesって何?)
やりたい事としては、iptables時代のINPUT/OUTPUT/FORWARDチェインのデフォルトポリシーを
DROPとしてその後開けたいポートを開けるという方法を模索した結果、ここで詰まっているという
状況です。
長くなりましたが、何か情報お持ちでしたらご教示頂ければ幸いです
以上です