Différences

Ci-dessous, les différences entre deux révisions de la page.

--- netadmin:firewalld [2026/04/26 07:32] – yoann
+++ netadmin:firewalld [2026/10/14 15:17] (Version actuelle) – yoann
@@ Ligne 4: / Ligne 4: @@
 ====== Pare-feu firewalld ======
-:TODO:
+===== Installation =====
+<code bash>
+apt install -y firewalld
+# Vérifier l'état du service après installation
+systemctl status firewalld.service
+# Equivalent
+firewall-cmd --state   # doit retourner "running"
+</code>
+A ce stade, le service s'exécute : les communications entrantes sont bloquées. Il va falloir paramétrer correctement le pare-feu, c'est à dire associer les interfaces aux zones et définir les trafics légitimes sur ces zones.
 ===== Les zones =====
@@ Ligne 20: / Ligne 32: @@
   * **work** : Bon niveau de confiance. Zone utilisée pour les machines sur réseau d'entreprise. La plupart des connexions entrantes sont autorisées, et on peut éditer les services acceptés avec des règles ;
   * **home** : Bon niveau de confiance. Zone utilisée pour une zone personnelle. La plupart des connexions entrantes sont autorisées, et on peut éditer les services acceptés avec des règles ;
-  * **trusted** : Niveau de confiance élevée. Zone utilisée pour les machines qui se font 100% confiance. A utiliser avec précaution évidemment.
+  * **trusted** : Niveau de confiance total. Zone utilisée pour les machines qui se font 100% confiance, tout trafic entrant autorisé. A utiliser avec précaution évidemment.
 <code bash>
 # Lister les zones
 firewall-cmd --get-zones
+# Lister les zones utilisées
+firewall-cmd --get-active-zones
 # Détail du paramétrage d'une zone
@@ Ligne 62: / Ligne 77: @@
 firewall-cmd --zone=work --add-source=192.168.21.0/24 [--permanent]
 </code>
+===== Création d'une zone personnalisée =====
+On peut définir de nouvelles zones.
+<note>
+La commande requiert l'usage de l'option ''%%--permanent%%''
+</note>
+<code bash>
+firewall-cmd --permanent --new-zone=MyZone
+firewall-cmd --reload
+</code>
+La zone utilise un comportement par défaut s'appliquant au **trafic entrant** lorsqu' aucune correspondance n'a été trouvée (REJECT). On peut redéfinir se comportement via l'option ''%%--set-target%%''
+<code bash>
+# firewall-cmd --permanent --zone=zone-name --set-target=<default|ACCEPT|REJECT|DROP>
+firewall-cmd --permanent --zone=MyZone --set-target=REJECT
+firewall-cmd --reload
+</code>
 ===== Les modules complémentaires =====
@@ Ligne 124: / Ligne 164: @@
 ===== Sauvegarder la configuration =====
+Une fois les règles validées, on peut sauvegarder la configuration en cours d'exécution (running config ou runtime) :
+<code bash>
+firewall-cmd --runtime-to-permanent
+firewall-cmd --complete-reload
+</code>
 Pour sauvegarder, importer ou exporter la configuration du pare-feu il suffit de copier le répertoire **''/etc/firewalld''**.
@@ Ligne 131: / Ligne 179: @@
   * Les dossiers ''zones'', ''helpers'', ''icmptypes'', ''ipsets'' et ''services''.
+===== Réinitialiser la configuration =====
+<code bash>
+firewall-cmd --reset-to-defaults
+</code>
+===== Verrouillage de la configuration (lockdown) =====
+Par défaut, les applications peuvent s'appuyer sur D-BUS pour modifier la configuration du pare-feu.
+===== Mode panic =====
+Pour isoler la machine du réseau, on peut basculer rapidement en mode panic : cela revient à couper les connexions actives et à empêcher tout nouveau trafic entrant et sortant.
+<code bash>
+firewall-cmd --panic-on
+firewall-cmd --panic-off
+</code>
+Pour vérifier si le mode panic est actif :
+<code bash>
+firewall-cmd --query-panic
+</code>
+===== Arrêter temporairement le pare-feu =====
+On arrête simplement le service :
+<code bash>
+systemctl stop firewalld.service
+# Le ruleset est supprimé à l'arrêt du service
+nft list ruleset # ne doit retourner aucune règle
+# Vérifier l'état du pare-feu
+firewall-cmd --state     # doit retourner "not running"
+</code>
+Lorsqu'on redémarre le service, les règles sont automatiquement recrées, le pare-feu est à nouveau fonctionnel :
+<code bash>
+systemctl start firewalld.service
+</code>
+<note>
+On peut également maintenir le pare-feu actif mais utiliser la zone **trusted**. Tout trafic entrant par les interfaces associées à la zone **trusted** sera autorisé.
+</note>
 ===== Références =====
@@ Ligne 137: / Ligne 237: @@
   * https://fr.linux-console.net/?p=34402
   * https://www.linuxtricks.fr/wiki/firewalld-le-pare-feu-facile-sous-linux
+  * https://www.golinuxcloud.com/firewalld-cheat-sheet/
   * https://linuxhandbook.com/firewalld-cmd/
   * https://blog.stephane-robert.info/docs/securiser/reseaux/firewalld/
   * [[https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html/security_guide/configuring_complex_firewall_rules_with_the_rich-language_syntax|Syntaxe des règles enrichies de firewalld (redhat.com) (en)]]
+  * https://alexhost.com/fr/faq/an-introduction-to-firewalld/
+  * https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/7/html/security_guide/configuring_firewall_lockdown

wikinotes

Outils pour utilisateurs

Outils du site

Différences

Outils de la page