Порт открыт, но в firewalld этого не видно. Это нормально?

Question

[Asparagales]

На CentOS 7 запущен sshd, 22 порт открыт и я могу удаленно подключаться по ssh. Однако команда firewall-cmd --list-ports ничего не выводит в ответ. Зато команда firewall-cmd --list-services выдает: ssh dhcpv6-client
Это не centos-специфичное поведение, а просто присущее firewalld. А почему если порт открыт, то этого не видно? Это нормально? Это баг или фича?

Answer 1

[Дмитрий]

Это фича.
Считается что администратор открывает доступ к сервису, а вот если сервис не описан в конфигурации , можно открыть доступ к порту. Мантейнеры не всех сервисов озаботились, чтобы в их пакетах была конфигурация для firewalld
Вот смотрите, с одной из моих виртуалок

[root@git ~]# firewall-cmd --list-all
public (active)
target: default
icmp-block-inversion: no
interfaces: eno16780032
sources:
services: bacula dhcpv6-client http https ssh
ports: 10050/tcp
protocols:
masquerade: no
forward-ports:
sourceports:
icmp-blocks:
rich rules:

Открыто несколько сервисов и отдельно еще один порт - ну не было в у меня в системе описания для сервиса zabbix-agent. Конечно, по правильному, надо было бы сделать xml с описанием сервиса и подкинуть его в firewalld , но может как то в другой раз, ага.

Answer 2

[Александр]

Скорее всего, фича. Если в /etc/services порт отмечен - он идет в список сервисов.

Comments

[Алексей Черемисин]

/etc/services тут вообще ни причем, это справочник!

Answer 3

[Алексей Черемисин]

Firewalld работает с iptables, и ему глубоко наплевать, какая программа что открыла. Для просмотра открытых соединений есть netstat. И кстати, /etc/services вообще здесь ни причем, он используется как справочник, сопоставляя номера портов с их общепринятым наименованием.

Comments

[Asparagales]

Не думаю, что в CentOS 7 присутствует netstat, в любом случае мне нужно было знать не открытые соединения, а открытые порты в файерволе, т.е такие порты, соединения с которыми им не блокируются. То что /etc/services - это справочник я понял.

[Алексей Черемисин]

Asparagales, netstat присутствует, уверяю Вас, не только в centos, но и вообще на любом юниксе, даже на OSX.
Если у Вас не установлен, установите - yum install net-tools

[Руслан]

Всегда думал, что iptables - это инструмент для управления netfilter, встроенного в ядро линукса.
Firewalld, кстати, тоже управляет netfilter'ом.

[Алексей Черемисин]

Руслан, Да, все правильно, iptables работает с таблицами и модулями ядра netfilter.
А netstat показывает статистику процессов по сокетам