LINUX.ORG.RU
ФорумAdmin

firewalld

 


0

2

что-то не пойму, каким образом подразумевается заполнение цепочек типа FWDI_internal_deny? Ну и вообще управление правилами цепочки FORWARD. Пока что только через direct.xml могу менять FORWARD_direct, но хотелось бы большего

★★★★★

Внесение изменений через firewall-cmd не устраивает?

BOOBLIK ★★★
()

Я про что-то типа:

firewall-cmd --direct --add-rule ipv4 filter FWDI_public_allow 0 -m tcp -p tcp --dport 5190 -j ACCEPT
правда это мало отличается от правки direct.xml

BOOBLIK ★★★
()
Ответ на: комментарий от BOOBLIK

Дык не работает же если указывать вместо FORWARD_direct какую-то другую цепочку. Тупо не добавляется правило.

af5 ★★★★★
() автор топика
Ответ на: комментарий от af5

На всякий случай спрошу, а собственно цепочка FWDI_internal_deny у тебя создана, отображается в выводе iptables-save? Вообще firewall-cmd умеет довольно осмысленно ругаться в stdout. У меня при попытке воткнуть правило в несуществующий чейн вываливается что-то типа:

Error: COMMAND_FAILED: '/sbin/iptables -t filter -I FWDI_internal_deny 1 -m tcp -p tcp --dport 80 -j ACCEPT' failed: iptables: No chain/target/match by that name.
Ну и вообще firewall-cmd --direct это практически обертка к прямому вызову iptables, там ломаться-то особо нечему.

BOOBLIK ★★★
()
Ответ на: комментарий от BOOBLIK

хм... похоже это багофича гуя (firewall-config), через cli всё ок

af5 ★★★★★
() автор топика
Ответ на: комментарий от BOOBLIK

а не, нифига не ок, после перезагрузки правила из direct.xml не подтягиваются если указывать вместо FORWARD_direct какую-то другую цепочку

af5 ★★★★★
() автор топика
Последнее исправление: af5 (всего исправлений: 1)
Ответ на: комментарий от BOOBLIK

--permanent это ключ, благодаря которому правила попадают в direct.xml. С этим всё ок. Но вот после перезагрузки или перезапуска firewalld эти правила не подтягиваются из direct.xml (если указывать вместо FORWARD_direct какую-то другую цепочку). А вот если без --permanent - то правила применяются, но не сохраняются в конфиг. Вот такая фигня.

af5 ★★★★★
() автор топика
Ответ на: комментарий от af5

Проверил сейчас на тестовой, чистой CentOS 7. Все так как ты пишешь. Правило добавляется с permanent, в direct.xml присутствует, но в iptables после перезагрузки не подгружается. Если вдруг нагуглишь решение — поделись тут.

BOOBLIK ★★★
()
Ответ на: комментарий от BOOBLIK

Ну пока только устраивать содомию в FORWARD_direct в качестве обходного решения

af5 ★★★★★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.