Как в Fedora 26 сохранить правила iptables перманентно?

Question

[gremlintv2]

Нашел статейку:
https://bash.cyberciti.biz/firewall/linux-iptables...
Все сделал как описано: (сохранил скрипт, сделал его исполняемым, добавил строку /root/scripts/start.fw в /etc/rc.local) но после перезагрузки правила изменяются на стандартные.
Добавил этот же скрипт в /etc/init.d, перезагрузил - -не помогло.
Запускаю скрипт, правила изменяются, ввожу iptables-save, перезагружаю - не помогает.
Какие еще варианты что делаю не так?

Answer 1

[dummyman]

Вполне возможно iptables формирует включенный firewalld
Посмотрите, включен ли firewalld
systemctl status firewalld.service
Если включен, выключите:
systemctl stop firewalld.service
systemctl disable firewalld.service
Включите iptables

dnf install iptables-services
systemctl mask firewalld.service
systemctl enable iptables.service
systemctl enable ip6tables.service

Большинство находят firewalld проще, чем конфиги iptables

Comments

[gremlintv2]

Спасибо, но к сожалению не помогло, сделал все как Вы написали, отключил firewalld, установил и запустил iptables, запускаю скрипт , запускаю iptables-save, перезгружаю, запускаю iptables -L -v вижу стандартные цепочки. :(

[SagePtr]

А где Вы загружаете правила iptables? их недостаточно просто сохранить, при загрузке их нужно ещё прочитать через iptables-restore

[dummyman]

gremlintv2: А что вам надо реализовать? По сути, firewalld не может решить ваши задачи? Только в следующем ответе пишите вы с маленькой буквы, одним миром мазаны, глаз цепляется. =)

[dummyman]

А то ваш скрипт написано
# By default this script only open port 80, 22, 53 (input)
# All outgoing traffic is allowed (default - output)
Это в firewalld делается за минуту без скриптов и прочих жестей...

[gremlintv2]

) Хочу закрыть все порты своей системы извне, но так чтобы не отрезать самого себя от внешней сети. Как-то так.

[dummyman]

Посмотреть какие порты/сервисы открыты
firewall-cmd --list-all
Смотрите, чего не хватает.
Можно активировать сервисами, можно номерами портов.
Сервисы ssh = 22/tpc
http = 80/tcp
dns = 53/tcp и 53/udp
добавить порт:
firewall-cmd --add-port=80/tcp
добавить перманентно после перезагрузки:
firewall-cmd --add-port=80/tcp --permanent
Перманентные правила не вступают в силу сразу, но после перезагрузки сервера.
Удалить порт
firewall-cmd --remove-port=80/tcp
И, соответственно перманентно
firewall-cmd --remove-port=80/tcp --permanent
И все, больше ничего знать не надо.

[gremlintv2]

+ немного не из той области вопрос, но хотелось бы узнать - чисто теоретически: есть ли возможность в системе установить какой нибудь бэкдор, и если да, то как такую активность выявить или закрыть доступ такому "скрипту"наружу?
(еще новичек, и не очень хорошо в таких вещах разбираюсь)

[dummyman]

gremlintv2:

) Хочу закрыть все порты своей системы извне, но так чтобы не отрезать самого себя от внешней сети. Как-то так.

Возвращайте firewalld, убирайте настройки и скрипты которые нагородили для iptables. Оно того не стоит. С момента той статьи прошло почти 10 лет, сейчас все гораздо проще.

[gremlintv2]

dummyman: спасибо ;), значит буду разбираться с firewall.d

[dummyman]

gremlintv2:

+ немного не из той области вопрос, но хотелось бы узнать - чисто теоретически: есть ли возможность в системе установить какой нибудь бэкдор, и если да, то как такую активность выявить или закрыть доступ такому "скрипту"наружу?

Покуда вы новичек закрывать наружу не советую скрипты. Активируйте SELinux. Хотя она по умолчанию активирована. Этой защиты вам будет достаточно.

[dummyman]

gremlintv2: Правда я заранее скажу, настройки php с включенным selinux - это ад. В частности, когда косается, что php скрипты хотят иметь права на запись. В таких случаях, советуют отключать selinux. Я же наоборот, считаю, что надо пое..аться денег, но это потом может сэкономить недели работы. SELinux - достойный уровень защиты, не стоит его выключать.

[dummyman]

gremlintv2:

спасибо ;), значит буду разбираться с firewall.d

Разбираться не надо, там пять команд:
Отобразить открытые порты
firewall-cmd --list-all
Смотрите, чего не хватает.
Можно активировать сервисами, можно номерами портов.
Сервисы ssh = 22/tpc
http = 80/tcp
dns = 53/tcp и 53/udp
добавить порт:
firewall-cmd --add-port=80/tcp
добавить перманентно после перезагрузки:
firewall-cmd --add-port=80/tcp --permanent
Перманентные правила не вступают в силу сразу, но после перезагрузки сервера.
Удалить порт
firewall-cmd --remove-port=80/tcp
И, соответственно перманентно
firewall-cmd --remove-port=80/tcp --permanent

С сервисами по аналогии

firewall-cmd --remove-service=ssh
firewall-cmd --add-service=http 
firewall-cmd --remove-service=ssh --permanent
firewall-cmd --add-service=http --permanent

Вот весь гайд. Больше знать не надо. Не читайте инструкцию. Этого предостаточно.