Как контролировать исходящие подключения с помощью firewalld?

Question

[vlzemtsov]

Добрый день.
Имеется: CentOS 7 + firewalld

Настройка входящих подключений с помощью зон и правил - легка и непринужденна.

Однако! Как настроить жесткий контроль исходящий подключений?
Например я хочу, чтобы с этой конкретной машины могли подключаться по 666 порту к соседней машине (пусть 192.168.1.2), но не могли подключаться по 666 порту к кому либо еще. Это возможно?

Answer 1

[Strabbo]

Возможно, вроде так: firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT + добавить ип к, которому подключаешься + порт и еще добавить второе правило на drop, чтобы отбрасывал другие пакеты.
Если делаете конфиг удаленно, не заблокируте сами себя :)

Comments

[Максим Гришин]

в правилах OUTPUT не заблокируется, так как ssh контролируется правилами на INPUT, а в OUTPUT должно (хотя надо бы проверить) присутствовать правило -m state --state RELATED,ESTABLISHED -j ACCEPT. Как вариант, составить правило с ! -d ip_address -p tcp --dport 666 -j DROP, чтобы не париться с изменением дефолтной политики на OUTPUT.