Quản Lý Firewall Với Firewalld Trên Rocky Linux: Hướng Dẫn Chi Tiết

Firewalld là một công cụ quản lý tường lửa động, cung cấp giao diện dòng lệnh và giao diện đồ họa để quản lý các quy tắc tường lửa trên hệ thống Linux. Nó đặc biệt hữu ích trên Rocky Linux, giúp bạn dễ dàng cấu hình và bảo vệ máy chủ của mình. Bài viết này sẽ hướng dẫn bạn chi tiết cách quản lý firewall với firewalld trên Rocky Linux, từ cài đặt, cấu hình đến các lệnh thường dùng và ví dụ thực tế.

Firewalld đơn giản hóa việc cấu hình tường lửa so với các phương pháp truyền thống như iptables, vốn đòi hỏi kiến thức chuyên sâu hơn về cú pháp và cấu trúc lệnh. Firewalld hoạt động bằng cách sử dụng các “zone” (vùng) để đại diện cho các mức độ tin cậy khác nhau của mạng, cho phép bạn áp dụng các quy tắc khác nhau tùy thuộc vào vị trí mạng của mình.

Firewalld là gì và tại sao cần nó trên Rocky Linux?

Firewalld là một trình quản lý tường lửa động, được tích hợp sẵn trên nhiều дистрибутив Linux, bao gồm cả Rocky Linux. Nó cung cấp một cách thức linh hoạt và dễ dàng để quản lý các quy tắc tường lửa, cho phép bạn kiểm soát lưu lượng mạng đến và đi khỏi hệ thống.

Tại sao cần Firewalld trên Rocky Linux?

Bảo mật: Tường lửa là một thành phần thiết yếu để bảo vệ hệ thống khỏi các cuộc tấn công mạng. Firewalld giúp bạn ngăn chặn truy cập trái phép và bảo vệ dữ liệu quan trọng.
Dễ sử dụng: Firewalld cung cấp giao diện dòng lệnh đơn giản và dễ hiểu, giúp bạn dễ dàng cấu hình các quy tắc tường lửa.
Linh hoạt: Firewalld cho phép bạn tạo các vùng (zone) khác nhau với các quy tắc riêng biệt, phù hợp với các môi trường mạng khác nhau.
Tích hợp sẵn: Firewalld được cài đặt sẵn trên Rocky Linux, giúp bạn tiết kiệm thời gian và công sức cài đặt.

Chuyên gia bảo mật mạng Nguyễn Văn An chia sẻ: “Firewalld là một công cụ tuyệt vời để bắt đầu với bảo mật trên Rocky Linux. Sự đơn giản và linh hoạt của nó giúp người dùng dễ dàng cấu hình tường lửa theo nhu cầu cụ thể của họ.”

Cài đặt và kích hoạt Firewalld trên Rocky Linux

Nếu Firewalld chưa được cài đặt trên Rocky Linux của bạn, bạn có thể cài đặt nó bằng lệnh sau:

sudo dnf install firewalld

Sau khi cài đặt, hãy kích hoạt Firewalld và cho phép nó khởi động cùng hệ thống:

sudo systemctl start firewalld
sudo systemctl enable firewalld

Kiểm tra trạng thái của Firewalld để đảm bảo nó đang hoạt động:

sudo systemctl status firewalld

Đầu ra sẽ hiển thị trạng thái “active (running)” nếu Firewalld đang hoạt động bình thường. Bạn có thể tham khảo thêm về hướng dẫn cài đặt rocky linux từ A đến Z để có cái nhìn tổng quan về quá trình cài đặt Rocky Linux và các thành phần đi kèm.

Hiểu về Zone (vùng) trong Firewalld

Firewalld sử dụng khái niệm “zone” để quản lý các quy tắc tường lửa. Mỗi zone đại diện cho một mức độ tin cậy khác nhau của mạng. Các zone phổ biến bao gồm:

drop: Mọi kết nối đến đều bị chặn, chỉ có các kết nối đi được phép.
block: Tương tự như drop, nhưng các kết nối bị chặn sẽ nhận được thông báo ICMP “destination unreachable”.
public: Dành cho các mạng công cộng không tin cậy. Chỉ cho phép các kết nối được chọn.
external: Dành cho các mạng bên ngoài, hoạt động như một gateway.
dmz: Dành cho các máy chủ nằm trong khu vực DMZ (Demilitarized Zone).
work: Dành cho mạng làm việc. Tin tưởng các máy tính khác trong mạng.
home: Dành cho mạng gia đình. Tin tưởng các máy tính khác trong mạng.
internal: Dành cho mạng nội bộ. Tin tưởng các máy tính khác trong mạng.
trusted: Tin tưởng tất cả các kết nối. Rất ít khi được sử dụng.

Bạn có thể xem danh sách các zone có sẵn bằng lệnh:

sudo firewall-cmd --get-zones

Để biết zone mặc định, sử dụng lệnh:

sudo firewall-cmd --get-default-zone

Các lệnh Firewalld cơ bản và ví dụ

Firewalld cung cấp một loạt các lệnh để quản lý tường lửa. Dưới đây là một số lệnh cơ bản và ví dụ:

Liệt kê các quy tắc hiện tại:

sudo firewall-cmd --list-all

Lệnh này sẽ hiển thị tất cả các quy tắc hiện tại cho zone mặc định. Để xem quy tắc cho một zone cụ thể, sử dụng:

sudo firewall-cmd --list-all --zone=<zone_name>

Ví dụ: sudo firewall-cmd --list-all --zone=public

Mở một cổng:

sudo firewall-cmd --add-port=<port_number>/<protocol> --permanent

Ví dụ: sudo firewall-cmd --add-port=80/tcp --permanent (mở cổng 80 cho HTTP)

Lưu ý --permanent để quy tắc được lưu lại sau khi khởi động lại.

Mở một dịch vụ:

sudo firewall-cmd --add-service=<service_name> --permanent

Ví dụ: sudo firewall-cmd --add-service=http --permanent

Xóa một cổng:

sudo firewall-cmd --remove-port=<port_number>/<protocol> --permanent

Ví dụ: sudo firewall-cmd --remove-port=80/tcp --permanent

Xóa một dịch vụ:

sudo firewall-cmd --remove-service=<service_name> --permanent

Ví dụ: sudo firewall-cmd --remove-service=http --permanent

Thay đổi zone cho một interface:

sudo firewall-cmd --change-interface=<interface_name> --zone=<zone_name> --permanent

Ví dụ: sudo firewall-cmd --change-interface=enp0s3 --zone=public --permanent

Reload Firewalld:

Sau khi thực hiện các thay đổi, bạn cần reload Firewalld để áp dụng chúng:

sudo firewall-cmd --reload

Nếu bạn gặp vấn đề về kết nối mạng sau khi cấu hình Firewalld, hãy kiểm tra xem card mạng có được nhận diện đúng cách không. Bạn có thể tham khảo bài viết rocky linux không nhận card mạng để được hướng dẫn khắc phục.

Các ví dụ cấu hình Firewalld thực tế

Dưới đây là một số ví dụ về cách cấu hình Firewalld để giải quyết các tình huống thực tế:

Cho phép truy cập SSH:

SSH (Secure Shell) là một giao thức được sử dụng để truy cập và quản lý máy chủ từ xa. Để cho phép truy cập SSH, bạn có thể mở cổng 22 (hoặc cổng SSH tùy chỉnh của bạn) hoặc sử dụng dịch vụ SSH tích hợp sẵn:

sudo firewall-cmd --add-service=ssh --permanent
sudo firewall-cmd --reload

Cho phép truy cập HTTP và HTTPS:

HTTP (Hypertext Transfer Protocol) và HTTPS (HTTP Secure) là các giao thức được sử dụng để truy cập các trang web. Để cho phép truy cập HTTP và HTTPS, bạn có thể mở cổng 80 và 443 hoặc sử dụng các dịch vụ HTTP và HTTPS tích hợp sẵn:

sudo firewall-cmd --add-service=http --permanent
sudo firewall-cmd --add-service=https --permanent
sudo firewall-cmd --reload

Cho phép truy cập MySQL:

MySQL là một hệ quản trị cơ sở dữ liệu phổ biến. Để cho phép truy cập MySQL, bạn có thể mở cổng 3306:

sudo firewall-cmd --add-port=3306/tcp --permanent
sudo firewall-cmd --reload

Chặn tất cả các kết nối đến trừ SSH:

Để tăng cường bảo mật, bạn có thể chặn tất cả các kết nối đến trừ SSH. Điều này sẽ ngăn chặn hầu hết các cuộc tấn công tự động và chỉ cho phép bạn truy cập máy chủ thông qua SSH:

sudo firewall-cmd --set-default-zone=drop
sudo firewall-cmd --add-service=ssh --permanent
sudo firewall-cmd --reload

Lưu ý: Hãy cẩn thận khi sử dụng zone “drop”, vì nó có thể khiến bạn mất quyền truy cập vào máy chủ nếu cấu hình không chính xác.

Cấu hình nâng cao Firewalld

Firewalld cung cấp nhiều tùy chọn cấu hình nâng cao, cho phép bạn tùy chỉnh tường lửa theo nhu cầu cụ thể của mình. Dưới đây là một số tùy chọn nâng cao:

Sử dụng Rich Rules:

Rich Rules cho phép bạn tạo các quy tắc phức tạp dựa trên nhiều tiêu chí, chẳng hạn như địa chỉ IP nguồn, địa chỉ IP đích, cổng, giao thức và dịch vụ. Ví dụ, bạn có thể cho phép truy cập SSH chỉ từ một địa chỉ IP cụ thể:

sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="192.168.1.100" service name="ssh" accept' --permanent
sudo firewall-cmd --reload

Sử dụng Direct Interface:

Direct Interface cho phép bạn trực tiếp thêm các quy tắc iptables vào Firewalld. Điều này hữu ích nếu bạn cần sử dụng các tính năng iptables nâng cao không được hỗ trợ trực tiếp bởi Firewalld. Tuy nhiên, hãy cẩn thận khi sử dụng Direct Interface, vì nó có thể làm cho cấu hình tường lửa của bạn trở nên phức tạp và khó quản lý.

Sử dụng Panic Mode:

Panic Mode là một tính năng khẩn cấp cho phép bạn chặn tất cả các kết nối đến và đi. Điều này hữu ích nếu bạn nghi ngờ rằng máy chủ của bạn đang bị tấn công. Để kích hoạt Panic Mode:

sudo firewall-cmd --panic-on

Để tắt Panic Mode:

sudo firewall-cmd --panic-off

Những lưu ý quan trọng khi sử dụng Firewalld

Luôn kiểm tra cấu hình: Sau khi thực hiện bất kỳ thay đổi nào, hãy luôn kiểm tra cấu hình Firewalld để đảm bảo rằng nó hoạt động như mong đợi.
Sử dụng --permanent: Đừng quên sử dụng tùy chọn --permanent khi thêm hoặc sửa đổi các quy tắc, nếu không các thay đổi sẽ bị mất sau khi khởi động lại.
Reload Firewalld sau khi thay đổi: Sau khi thực hiện các thay đổi vĩnh viễn, hãy reload Firewalld để áp dụng chúng.
Cẩn thận với zone “drop”: Hãy cẩn thận khi sử dụng zone “drop”, vì nó có thể khiến bạn mất quyền truy cập vào máy chủ nếu cấu hình không chính xác.
Tìm hiểu về iptables: Mặc dù Firewalld đơn giản hóa việc quản lý tường lửa, nhưng việc hiểu về iptables vẫn hữu ích để giải quyết các vấn đề phức tạp hơn.

Chuyên gia bảo mật hệ thống Trần Thị Lan chia sẻ: “Quản lý firewall là một phần không thể thiếu trong việc bảo vệ máy chủ. Firewalld giúp công việc này trở nên dễ dàng hơn, nhưng vẫn cần sự cẩn trọng và hiểu biết về các nguyên tắc bảo mật cơ bản.”

Để đảm bảo an toàn hơn cho máy chủ Rocky Linux của bạn, hãy cấu hình SSL. Bạn có thể tìm hiểu thêm về cấu hình Let’s Encrypt SSL rocky linux để có một kết nối an toàn và được mã hóa.

Mẹo khắc phục sự cố Firewalld thường gặp

Không thể kết nối đến máy chủ: Kiểm tra xem cổng hoặc dịch vụ bạn đang cố gắng truy cập có được mở trong Firewalld hay không. Đảm bảo rằng zone bạn đang sử dụng cho interface mạng của mình là chính xác.
Các quy tắc không được áp dụng: Đảm bảo rằng bạn đã reload Firewalld sau khi thực hiện các thay đổi vĩnh viễn. Kiểm tra cú pháp của các quy tắc của bạn để đảm bảo rằng chúng không có lỗi.
Panic Mode được kích hoạt: Nếu bạn không thể kết nối đến máy chủ của mình, hãy kiểm tra xem Panic Mode có được kích hoạt hay không. Nếu có, hãy tắt nó.
Sự cố liên quan đến DNS: Trong một số trường hợp, sự cố DNS có thể ảnh hưởng đến khả năng kết nối.

Kết luận

Quản lý firewall với firewalld trên Rocky Linux là một bước quan trọng để bảo vệ máy chủ của bạn khỏi các cuộc tấn công mạng. Firewalld cung cấp một giao diện đơn giản và linh hoạt để cấu hình các quy tắc tường lửa, cho phép bạn kiểm soát lưu lượng mạng đến và đi khỏi hệ thống. Bằng cách làm theo hướng dẫn trong bài viết này, bạn có thể dễ dàng cài đặt, cấu hình và quản lý Firewalld trên Rocky Linux của mình. Hãy nhớ luôn kiểm tra cấu hình của bạn và tuân thủ các nguyên tắc bảo mật cơ bản để đảm bảo an toàn cho máy chủ của bạn. Việc kiểm tra xem các cổng cần thiết có đang mở hay không cũng rất quan trọng, bạn có thể tham khảo kiểm tra cổng mở trong rocky linux để biết thêm chi tiết.

Câu hỏi thường gặp (FAQ)

1. Làm thế nào để biết Firewalld đang chạy zone nào cho interface mạng của tôi?

Bạn có thể sử dụng lệnh sau:

sudo firewall-cmd --get-zone-of-interface=<interface_name>

Ví dụ: sudo firewall-cmd --get-zone-of-interface=enp0s3

2. Làm thế nào để chặn một địa chỉ IP cụ thể?

Bạn có thể sử dụng Rich Rules để chặn một địa chỉ IP cụ thể:

sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="<ip_address>" drop' --permanent
sudo firewall-cmd --reload

Thay thế <ip_address> bằng địa chỉ IP bạn muốn chặn.

3. Làm thế nào để cho phép truy cập vào một cổng chỉ từ một mạng cụ thể?

Bạn có thể sử dụng Rich Rules để cho phép truy cập vào một cổng chỉ từ một mạng cụ thể:

sudo firewall-cmd --add-rich-rule='rule family="ipv4" source address="<network_address>/<netmask>" port port="<port_number>" protocol="tcp" accept' --permanent
sudo firewall-cmd --reload

Thay thế <network_address>, <netmask> và <port_number> bằng các giá trị thích hợp.

4. Firewalld có thể thay thế iptables không?

Có, Firewalld được thiết kế để thay thế iptables. Nó cung cấp một giao diện dễ sử dụng hơn và quản lý các quy tắc tường lửa một cách động. Tuy nhiên, Firewalld vẫn sử dụng iptables ở cấp độ thấp.

5. Làm thế nào để khôi phục cấu hình Firewalld về mặc định?

Bạn có thể khôi phục cấu hình Firewalld về mặc định bằng lệnh sau:

sudo firewall-cmd --permanent --set-default-zone=public
sudo rm /etc/firewalld/zones/*
sudo firewall-cmd --reload

Lưu ý: Lệnh này sẽ xóa tất cả các quy tắc và zone tùy chỉnh của bạn.

6. Tại sao tôi không thể kết nối đến máy chủ sau khi cấu hình Firewalld?

Có một số lý do có thể gây ra sự cố này. Hãy kiểm tra xem cổng hoặc dịch vụ bạn đang cố gắng truy cập có được mở trong Firewalld hay không. Đảm bảo rằng zone bạn đang sử dụng cho interface mạng của mình là chính xác. Kiểm tra xem Panic Mode có được kích hoạt hay không.

7. Làm thế nào để xem log của Firewalld?

Bạn có thể xem log của Firewalld bằng lệnh sau:

sudo journalctl -u firewalld

Điều này sẽ hiển thị tất cả các sự kiện liên quan đến Firewalld, bao gồm cả các lỗi và cảnh báo.