「firewalld」の基本的な設定方法です。ポートフォワーディング等の設定方法は別途作成していく予定です。firewalldについてCentOS6までのファイアウォールは「iptables」でしたが、CentOS7からは「firewalld」が初期状態では有効となっています。「firewalld」について簡単に説明すると、通信制御のポリシーを設定する場合、事前に定義されたゾーンに対して通信の許可・遮断ルールを適用し、そのゾーンを各NIC(ネットワークアダプタ)に割り当てていくという方式になっています。コマンドラインで「firewalld」を制御するために「firewall-cmd」というコマンドが用意されているので、その基本的な使用方法についてもまとめてます。ゾーンについて初期状態で9つのゾーンが用意されています。※自分でもゾーンを新規に作成することもできます。下記は初期に定義されてるゾーンの一覧です。職場などの業務エリアで使用するために定義されたゾーン確認系コマンド「fierwalld」の状態や設定内容を確認するためのコマンドについて説明していきます。「firewalld」の稼働状況は下記のコマンドで確認することが出来ます。running」と表示されます。稼働状況の確認は「firewall-cmd」コマンド以外にも「systemctl」コマンドを使用することで確認出来ます。(running)と表示され、動作していることが確認できます。(dead)と表示され、firewalldが停止していることが分かります。daemon.ゾーンの設定確認ゾーンの設定状態を確認するためのコマンドについて説明します。下記のコマンドで「default」として設定されているゾーンの設定内容を確認できます。下記の実行例では、「public」ゾーンが「default」設定となっていて、「eno16777736」「eno33554984」のNICに割り当てられていること等がわかります。「–zone」で確認したいゾーンを指定することで、対象としたゾーンの情報を表示させることができます。下記の実行例は「dmz」ゾーンの設定を表示させた例となります。全てのゾーン情報を表示させるには「–list-all-zones」を使用します。初期定義されている9つのゾーンの情報が表示されます。rules:–permanentオプションの有無についてゾーンの設定を確認する際に「–permanent」オプションを指定して確認を行うと、一時的に設定を追加されているルールについては表示されません。例として「–permanent」オプションを指定せずに「public」ゾーンへ「http」サービスを追加し、「–permanent」オプションの有り無しでどのように表示されるのかを確認してみます。httpサービスをpublicゾーンに追加まず、一時的に「public」ゾーンへ「http」サービスの通信を許可する設定を行います。--add-service=httpsuccess–permanentオプション無しで状態を確認servicesに「http」が追加されていることが確認できます。追加された「http」サービスは一時的な設定なので、servicesにhttpが表示されていません。rules:このように、「–permanent」オプションの有り無しで表示結果が異なるので確認の際は注意してください。「default」として設定されているゾーンを表示します。--get-default-zonepublic「default」として設定されているゾーンが「public」であることがわかります。設定系コマンド「firewalld」の設定に関するコマンドを説明します。コマンド自体はまだまだたくさんあるのですが、まずは私が普段よく使っているものを記述させていただきます。一時的設定と恒久的設定について設定のコマンドを説明する前に一時的設定と恒久的設定について説明していきます。一時的設定(–permanentオプション無し)「firewall-cmd」コマンドで設定を行う際に、「–permanent」オプションを指定しなければその設定は一時的な設定となり、サーバや「firewalld」のサービスを再起動すると設定が消えてしまいます。恒久的設定(–permanentオプションあり)サーバの再起動や「firewalld」サービスの再起動で設定が消えてしまわないようにするためには、「–permanent」オプションを使用して設定を行う必要があります。–reload」で設定を反映させる必要があります。ゾーンへのサービス追加・削除ゾーンに通信を許可するサービスの追加する方法と、削除する方法について説明します。サービス追加すでに定義されているサービスをゾーンに追加するためには「–add-service」でサービスの指定行います。恒久的にゾーンにサービスを追加したい場合は「–permanent」オプションをつけて設定を行う必要があります。一時的に「public」ゾーンに「http」サービスを追加する例です。「–permanent」オプションを指定して、「public」ゾーンに「http」サービスを追加する例です。–reload」で設定の反映を忘れずに行いましょう。サービス削除ゾーンに設定されているサービスを削除するには「–remove-service」を使用します。先ほど設定した「http」サービスを「public」ゾーンから削除してみます。--reloadsuccess一時的に「http」サービスをゾーンから削除したい場合は「–permanent」オプションの指定を行わないでください。ゾーンへのポート追加・削除サービスとして追加されていない通信をゾーンに追加する場合は、ポート番号とプロトコルを指定して追加するという方法もあります。ポートの追加ゾーンへのポート追加は「–add-port」を使用して行います。「public」ゾーンにポート番号「10022」プロトコル「TCP」のルールを追加してみます。--reloadsuccess設定内容を確認するとportsに「10022/tcp」が追加されていることが確認できます。rules:ポートの削除ゾーンからポートを削除するには「–remove-port」を使用します。先ほど追加した「public」ゾーンの「10022/tcp」ルールを削除します。--reloadsuccess設定内容を確認するとportsから「10022/tcp」が削除されていることが確認できます。「default」に設定されているゾーンを変更する場合は「–set-default-zone」を使用します。--set-default-zone=ゾーン名デフォルトのゾーンを変更する場合は「–permanent」オプションを使用しなくても設定は恒久的となります。「dmz」ゾーンをdefault設定に変更してみます。--set-default-zone=dmzsuccessdefault設定のゾーンを確認すると「dmz」に変更されていることが確認できます。「default」に設定されているゾーン以外をNICに割り当てる場合の方法について説明します。一時的にゾーンを変更する場合は「–change-interface」を使用します。「eno16777736」というNICに「trusted」ゾーンを割り当てる例となります。--change-interface=eno16777736success「trusted」ゾーンの情報を確認すると、interfacesに「eno16777736」が表示されているのが確認できます。rules:恒久的にゾーンを変更NICに割り当てられているゾーンを恒久的に変更するためには「firewall-cmd」コマンドを使用せずに、NICの設定ファイルに下記内容を追加することでゾーンの割り当て設定します。※NICの設定ファイルは「/etc/sysconfig/network-scripts/ifcfg-xxx」となります。「eno16777736」というNICに「trusted」ゾーンを割り当てる例となります。/etc/sysconfig/network-scripts/ifcfg-eno16777736NICの設定ファイルに下記内容を追加します。ZONE=trusted設定ファイルの編集が終わったら、ネットワークを再起動させて設定を反映させます。network「trusted」ゾーンを確認するとinterfacesに「eno16777736」が表示されていることが確認できます。rules:ゾーンの割り当てには「–permanent」オプションが使えないこれまでゾーンにサービスやポートを追加する場合、恒久的な設定を行う場合は「–permanent」オプションを使っていましたが、NICにゾーンを割り当てる場合は「–permanent」が使用できません。実際に「–permanent」を使用してゾーンの割り当てを行ってみると、「success」と表示されて設定が成功したようにみえます。rules:当然サーバの再起動を行ってもNICへの割り当てはそのままでした。firewall-cmd」で確認すると下記のように記述されていました。firewalld」は「systemd」で制御されているので、起動と停止には「systemctl」コマンドを使用します。詳しくは下記のページで説明しているので、参考にしてみてください。「firewalld」で特定のアドレスからの通信(ソース指定)を遮断する方法です。7」環境の「firewalld」で特定の国からのアクセスを拒否する設定を行ったところ、ルールが4000~5000とか...記事を読むfirewalldにユーザ定義サービスを追加firewalldにユーザが定義したサービスを追加する方法です。desktopを最近使い始めた初心者です。非常に読みやすく、参考になりました。技術的なものを書く場合はかくありたいと感じ入りました。返信yama-chanさんお褒めのコメントを頂きとても励みになります。ありがとうございます。私の記事が少しでもお役に立てたのであれば、とてもうれしく思います。力不足ですが、これからも役に立てるような記事を書いていきたいと思いますので、これからもよろしくお願いいたします。わかりやすくて大変助かりました。ありがとうございます!一発でうまくいきました^^すごく気分がいいです。本当にありがとうございます。するのでしょうか?検索しても、iptableのことばかりで。私はCentOS7なので、Firewalldに変わったと聞きました。インストールを1日かけて頑張りましたが、結局うまくいきませんでした。Webalizerにした次第です。返信sushiさんコメントありがとうございます。Webalizerの記事お役に立ったようで良かったです!ご質問いただいた件についてご回答させていただきますね。firewalldで特定の国からアクセスを拒否する方法こちらは、firewalldに用意されている「drop」ゾーンに、アクセスを拒否したいネットワークアドレスを登録することでアクセスを拒否することが出来ます。–get-active-zones国別に割り当てられているネットワークアドレスは、下記のサイトなどで調べられます。https://ipv4.fetus.jp/※アクセス拒否設定の解除方法は下記のとおりとなります。–reload(2)WebalizerとAWStatsのちがいについて最近はAWStatsの方は使用していないので、あまり詳しくはないのですがAWStatsの方がWebalizerよりも解析できる項目が多いというのが一番の違いとなります。以上、よろしくお願いします。様Webalizerの記事、すごくわかりやすくて、見やすくて。貴サイトは一番だと思いました^^firewalldの設定方法についても、初心者の私にわかりやすく説明していただいて大変ありがたいです!早速設定をしてみます。解析の項目が多いのですね。ありがとうございます。私は、tamohiko様から教えていただいた、Webalizerで好きなのでこちらを大事に今後も使っていきたいと思います^^ありがとうございました。ID:c812710b2sushiさん少しはお役にたったようで良かったです!何か他にご不明な点がありましたら、またコメントお願いしますね。firewalldでアクセス拒否設定について、あれから少し調べてみました。国単位でのアクセス拒否設定となると、かなり多く(何百~何千)のルールを設定する必要があり、マシンのスペックにもよりますがfirewalldの動作がかなり重くなってしまうようです。このような場合は「ipset」と組み合わせて設定をするのが良いみたいです。検証を行っていないので詳しい手順はお知らせできませんが、後ほど手順をまとめて公開したいと思います。>ミシュラン5つ星のサイトですね^^お褒めの言葉ありがとうございます。コメントをキャンセルメールアドレスが公開されることはありません。コメントデータの処理方法の詳細はこちらをご覧ください。なっていますが、利用しないではないかと、、、。--parentsでフォルダ構造(パス)まるごとコピーparentsの綴りが誤っているようです。いろんなサイト様を参照しつつ最終的にこちらのサイト様で無事に動作させることができました。ありがとうございます。wordpressインストール大変参考になりました。ありがとうございました。server-memo.net.。