Как сохранить команду в CentOS-7?

Question

[Junior Coder]

При каждой перезагрузке сервера приходится вводить эту команду iptables -I INPUT -p tcp --dport 443 -j ACCEPT чтобы сайт работал по https. service iptables save не работает в CentOS-7, как сохранить?

Comments

[Asparagales]

А у вас вообще-то есть iptables? Это правило, которое вы вводите применяется, его видно по команде iptables -L INPUT ? И какой ответ дает команда systemctl status iptables ? Потому как в CentOS 7 вместо iptables по умолчанию должен использоваться firewalld.

[Junior Coder]

В том и дело что вроде как в новой версии firewalld он и работает для 22 и 80 порта, но при настройки SSL сертификата по этой инструкции https://www.8host.com/blog/sozdanie-sertifikata-le... (делаю по инструкции все работает, за исключением этого правила) получается что 443 порт трогать вообще не надо, не нужно на него никаких правил писать. Получается что половина правил из firewalld работает и половина из iptables.

[Junior Coder]

Asparagales, systemctl status iptables отдает Unit iptables.service could not be found. Но без этого правила iptables -I INPUT -p tcp --dport 443 -j ACCEPT сайт по https не открывается, с ним открывается и все работает как нужно.

Answer 1

[CityCat4]

Посмотреть /etc/sysconfig/iptables-config, параметры:

IPTABLES_SAVE_ON_STOP="no"
IPTABLES_SAVE_ON_RESTART="no"

Понятно, что для сохранения они должны стоять в YES

Посмотреть /etc/sysconfig/iptables - это собственно и есть список правил, которые загружаются при старте, добавить нужное, убрать лишнее

Answer 2

[Дмитрий]

В CentOS 7 пришел firewalld на замену старому iptables. Если есть огромное желание продолжать использовать iptables надо
1. сначала отключить firewalld ,

systemctl stop firewalld
systemctl mask firewalld

2.после этого добавить пакет iptables-services

yum install iptables-services 
systemctl enable iptables-services

3. ну и сохранить ваши правла в /etc/sysconfig/iptables
iptables-save > /etc/sysconfig/iptables

Comments

[Asparagales]

Мне кажется, правильнее так:
systemctl stop firewalld
systemctl disable firewalld
systemctl mask firewalld
и
yum install iptables-services
systemctl start iptables
systemctl enable iptables

И нужно учитывать, что после отключения firewalld все правила, которые сейчас существуют, исчезнут.
А что вообще требуется? Открыть 443 порт на постоянной основе? Если так, то это через firewalld можно сделать.

[Junior Coder]

Если открыть 443

firewall-cmd --zone=public --add-port=443/tcp --permanent

то почему-то, все перестает работать. Выше написал iptables вообще получается выключен, но правило это работает.

[Asparagales]

Попробуйте так:
firewall-cmd --permanent --zone=public --add-port=443/tcp
firewall-cmd --reload

И посмотрите что получилось:

firewall-cmd --list-ports

Эта команда должна вывести все открытые порты.

[Junior Coder]

Asparagales, в чем разница то что я пишу

firewall-cmd --zone=public --add-port=443/tcp --permanent

и вы

firewall-cmd --permanent --zone=public --add-port=443/tcp

[vanoc]

Евгений М, без firewall-cmd --reload работать не будет. Видимо в этом разница.

[vanoc]

Вообще согласен с Asparagales, только я бы посмотрел что вообще открыто
firewall-cmd --list-all
И если не открыт https, то добавил бы
firewall-cmd --permanent --zone=public --add-service=https
firewall-cmd --reload
Нет смысла указать портом, когда есть готовое решение.

[Junior Coder]

vanoc, уже указал портом, а открыто вот, вроде работает и SSL сертификат бесплатный устанавливается автоматом, мне для этого все нужно было

[root@kjrefyiknw ~]# firewall-cmd --list-all
public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources: 
  services: ssh dhcpv6-client
  ports: 80/tcp 443/tcp
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules: 
	
[root@kjrefyiknw ~]#