Différences
Ci-dessous, les différences entre deux révisions de la page.
| Les deux révisions précédentesRévision précédenteProchaine révision | Révision précédente | ||
| elearning:workbooks:centos:6:avance:l106 [2022/04/23 11:16] – created admin | elearning:workbooks:centos:6:avance:l106 [2023/02/15 15:55] (Version actuelle) – admin | ||
|---|---|---|---|
| Ligne 1: | Ligne 1: | ||
| ~~PDF: | ~~PDF: | ||
| - | Version : **2022.01** | + | Version : **2021.01** |
| Dernière mise-à-jour : ~~LASTMOD~~ | Dernière mise-à-jour : ~~LASTMOD~~ | ||
| - | ======LCF306 | + | ======LCF305 |
| =====Contenu du Module===== | =====Contenu du Module===== | ||
| - | * **LCF306 | + | * **LCF305 |
| * Contenu du Module | * Contenu du Module | ||
| - | * Concepts RAID | + | * Les Problématiques |
| - | * Disques en miroir | + | * L'IP Spoofing |
| - | * Bandes | + | * Déni de Service (DoS) |
| - | * Types de RAID | + | * SYN Flooding |
| - | * RAID 0 - Concaténation | + | * Flood |
| - | * RAID 0 - Striping | + | * Le Contre-Mesure |
| - | * RAID 1 - Miroir | + | * Le Pare-feu Netfilter/ |
| - | * RAID 1+0 - Striping en Miroir | + | * LAB #1 - Configuration par Scripts sous RHEL/CentOS 6 et versions Antérieures |
| - | * RAID 2 - Miroir avec Contrôle d' | + | * LAB #2 - La Configuration par firewalld sous RHEL/CentOS 7 |
| - | * RAID 3 et 4 - Striping avec Parité | + | * La Configuration de Base de firewalld |
| - | * RAID 5 - Striping avec Parité Distribuée | + | * La Commande firewall-cmd |
| - | * Au délà | + | * La Configuration Avancée |
| - | * RAID Logiciel sous RHEL/ | + | * Le mode Panic de firewalld |
| - | * Préparation du disque | + | |
| - | * Partitionnement | + | |
| - | * Mise en Place du RAID 5 Logiciel | + | |
| - | =====Concepts RAID===== | + | =====Les Problématiques===== |
| - | Les solutions RAID ou //Redundant Array of Independent Disks// ou encore //Redundant Array of Inexpensive Disks// permettent la combinaison de plusieurs disques de façon à ce que ceux-ci soient vu comme un seul disque logique. | + | ====L' |
| - | Les solutions RAID sont issues du travail fourni par l'université de Berkeley | + | L'IP Spoofing consiste |
| - | | + | |
| - | * Amélioration des performances, | + | * L' |
| - | * Apporter | + | * L' |
| + | * Le serveur accepte | ||
| + | * Le client utilise la route spécifiée par l' | ||
| - | Deux concepts sont fondamentaux à la compréhension des solutions RAID. | + | ====Déni de Service (DoS)==== |
| - | ====Disques | + | Une attaque de déni de service consiste à rendre inopérable une machine |
| - | La technique des disques en miroir consiste | + | * L' |
| + | * Il envoie ensuite un ping à une machine de diffusion, | ||
| + | * La machine de diffusion envoie ce même ping à un grand nombre de clients en spécifiant | ||
| + | * L' | ||
| + | * Tous les clients renvoie une réponse au ping //en même temps// à la cible. | ||
| - | ====Bandes de données==== | + | ====SYN Flooding==== |
| - | La technique des bandes de données, autrement appelée | + | Le **SYN Flooding**, aussi appelé un //SYN-ACK Attack//, consiste à envoyer vers une cible de multiples paquets **SYN** très rapidement. La cible répond |
| - | =====Types de RAID===== | + | ====Flood==== |
| - | ====RAID 0 - Concaténation==== | + | Le **Flood** consiste à envoyer très rapidement des gros paquets **ICMP** vers la cible. |
| - | Création de volume par récupération de l' | + | =====Le Contre-Mesure===== |
| - | {{: | + | Le contre-mesure est principalement l' |
| - | ===Avantages=== | + | ====Le Pare-feu Netfilter/ |
| - | | + | **Netfilter** est composé |
| - | ===Inconvénients=== | + | * NF_IP_PRE_ROUTING |
| + | * NF_IP_LOCAL_IN | ||
| + | * NF_IP_LOCAL_OUT | ||
| + | * NF_IP_FORWARD | ||
| + | * NF_IP_POSTROUTING | ||
| - | * Pas de protection des données, | + | Ces hooks sont utilisés par deux branches, la première est celle concernée par les paquets qui entrent vers des services locaux : |
| - | * Pas d' | + | |
| - | ====RAID 0 - Striping==== | + | * NF_IP_PRE_ROUTING > NF_IP_LOCAL_IN > NF_IP_LOCAL_OUT > NF_IP_POSTROUTING |
| - | Création de volume sur plusieurs disques afin d' | + | tandis que la deuxième concerne |
| - | {{: | + | * NF_IP_PRE_ROUTING > NF_IP_FORWARD > NF_IP_POSTROUTING |
| - | ===Avantages=== | + | Si IPTABLES a été compilé en tant que module, son utilisation nécessite le chargement de plusieurs modules supplémentaires en fonction de la situation: |
| - | * Augmentation des performances d'E/S par écriture en parallèle sur les disques. | + | * iptable_filter |
| + | * iptable_mangle | ||
| + | * iptable_net | ||
| + | * etc | ||
| - | ===Inconvénients=== | + | Netfilter est organisé en **tables**. La commande **iptables** de netfilter permet d' |
| - | * Pas de protection des données. | + | * La table **FILTER** |
| + | * La chaîne INPUT | ||
| + | * Concerne les paquets entrants | ||
| + | * Policies: ACCEPT, DROP, REJECT | ||
| + | * La chaîne OUTPUT | ||
| + | * Concerne les paquets sortants | ||
| + | * Policies: ACCEPT, DROP, REJECT | ||
| + | * La chaîne FORWARD | ||
| + | * Concerne les paquets traversant le par-feu. | ||
| + | * Policies: ACCEPT, DROP, REJECT | ||
| - | ====RAID 1 - Miroir==== | + | Si aucune table n'est précisée, c'est la table FILTER qui s' |
| - | Création | + | * La table **NAT** |
| + | * La chaîne PREROUTING | ||
| + | * Permet de faire la translation | ||
| + | * Cibles: SNAT, DNAT, MASQUERADE | ||
| + | * La chaîne POSTROUTING | ||
| + | * Permet | ||
| + | * Cibles: SNAT, DNAT, MASQUERADE | ||
| + | * Le cas spécifique OUTPUT | ||
| + | * Permet la modification de la destination des paquets générés localement | ||
| - | {{: | + | * La table **MANGLE** |
| + | * Permet le marquage de paquets générés localement (OUTPUT) et entrants (PREROUTING) | ||
| - | ===Avantages=== | + | Les **policies** sont: |
| - | * Protection des données contre une défaillance | + | * ACCEPT |
| + | * Permet | ||
| + | * DROP | ||
| + | * Permet de rejeter le paquet concerné sans générer | ||
| + | * REJECT | ||
| + | * Permet de rejeter le paquet concerné en générant une message d' | ||
| - | ===Inconvénients=== | + | Les **cibles** sont: |
| - | * Coûteux à cause de l'augmentation | + | * SNAT |
| + | * Permet | ||
| + | * DNAT | ||
| + | * Permet | ||
| + | * MASQUERADE | ||
| + | * Permet de remplacer l' | ||
| - | ====RAID 1+0 - Striping | + | IPTABLES peut être configuré soit par des outils tels shorewall, soit en utilisant des lignes de commandes ou un script. Dans ce dernier cas, la ligne prend la forme: |
| - | Le RAID 1+0 ou encore 0+1 est une technique qui réunit le RAID 0 et le RAID 1. On l' | + | # IPTABLES --action CHAINE --option1 --option2 |
| - | {{:linux: | + | Les actions sont: |
| - | ===Avantages=== | + | ^ Action |
| + | | - -append | -A | Ajouter une règle à la fin de la chaîne spécifiée | | ||
| + | | - -delete | -D | Supprimer une règle en spécifiant son numéro ou la règle à supprimer | | ||
| + | | - -replace | -R | Permet de remplacer la règle spécifée par son numéro | | ||
| + | | - -insert | -I | Permet d' | ||
| + | | - -list | -L | Permet d' | ||
| + | | - -flush | -F | Permet de vider toutes les règles d'une chaîne | | ||
| - | * Protection des données contre une défaillance d'un disque. | + | Les options sont: |
| - | * Augmentation des performances d'E/S par écriture en parallèle sur les disques. | + | |
| - | ===Inconvénients=== | + | ^ Option |
| + | | - -protocol | -p | Permet de spécifier un protocol - tcp, udp, icmp, all | | ||
| + | | - -source | -s | Permet de spécifier une adresse source | | ||
| + | | - -destination | -d | Permet de spécifier une adresse de destination | | ||
| + | | - -in-interface | -i | Permet de spécifier une interface réseau d' | ||
| + | | - -out-interface | -o | Permet de spécifier une interface réseau de sortie | | ||
| + | | - -fragment | -f | Permet de ne spécifier que les paquets fragmentés | | ||
| + | | - -source-port | -sport | ||
| + | | - -destination-port | -dport | ||
| + | | - -tcp-flags | s/o | Permet de spécifier un flag TCP à matcher - SYN, ACK, FIN, RST, URG, PSH, ALL, NONE | | ||
| + | | - -icmp-type | s/o | Permet de spécifier un type de paquet ICMP | | ||
| + | | - -mac-source | s/o | Permet de spécifier une adresse MAC | | ||
| - | * Coûteux | + | Les options spécifiques |
| - | ====RAID 2 - Miroir avec Contrôle | + | | - -to-destination | s/o | Permet de spécifier l' |
| + | | - -to-source | s/o | Permet spécifier l' | ||
| - | Le RAID 2 est une technique de miroir avec contrôle de correction d' | + | Les options spécifiques aux LOGS sont: |
| - | ====RAID 3 et 4 - Striping avec Parité==== | + | | - -log-level | s/o | Permet de spécifier le niveau de logs | |
| + | | - -log-prefix | s/o | Permet de spécifier un préfix pour les logs | | ||
| - | Les RAID 3 et 4 sont des technologies avec bandes de parité distribuées sur un seul disque | + | L' |
| - | {{: | + | | - -state | s/o | Permet de spécifier l' |
| - | En RAID 3, la taille | + | Ce dernier cas fait référence au STATEFUL. Le STATEFUL est la capacité du par-feu à enregistrer dans une table spécifique, |
| - | En RAID 4, la taille des segments est variable et se modifie en temps réel. Cela implique que les informations de parité doivent être mise à jour à chaque écriture afin de vérifier si la taille des segments a été modifiée. | + | Il existe |
| - | ===Avantages=== | + | * NEW |
| + | * Le paquet concerne une nouvelle connexion et contient donc un flag SYN à 1 | ||
| + | * ESTABLISHED | ||
| + | * Le paquet concerne une connexion déjà établie. Le paquet ne doit contenir **ni** flag SYN à 1, **ni** flag FIN à 1 | ||
| + | * RELATED | ||
| + | * Le paquet est d'une connexion qui présente une relation avec une autre connexion | ||
| + | * INVALID | ||
| + | * La paquet provient d'une connexion anormale. | ||
| - | * Protection des données contre une défaillance d'un disque. | + | ====LAB #1 - Configuration par Scripts sous RHEL/CentOS 6 et versions Antérieures==== |
| - | ===Inconvénients=== | + | Dans l' |
| - | * Création d'un goulot d' | + | < |
| + | # | ||
| + | ##################################### | ||
| + | # proxy server IP | ||
| + | PROXY_SERVER=" | ||
| + | # Interface connected to Internet | ||
| + | INTERNET=" | ||
| + | # Interface connected to LAN | ||
| + | LAN_IN=" | ||
| + | # Local Interface | ||
| + | LOCAL=" | ||
| + | # Squid port | ||
| + | PROXY_PORT=" | ||
| + | # DO NOT MODIFY BELOW | ||
| + | # Clean old firewall | ||
| + | iptables -F | ||
| + | iptables -X | ||
| + | iptables -t nat -F | ||
| + | iptables -t nat -X | ||
| + | iptables -t mangle -F | ||
| + | iptables -t mangle -X | ||
| + | # Load IPTABLES modules for NAT and IP conntrack support | ||
| + | modprobe ip_conntrack | ||
| + | modprobe ip_conntrack_ftp | ||
| + | # For win xp ftp client | ||
| + | modprobe ip_nat_ftp | ||
| + | echo 1 > / | ||
| + | # Setting default filter policy | ||
| + | iptables -P INPUT DROP | ||
| + | iptables -P OUTPUT ACCEPT | ||
| + | # Unlimited access to loop back | ||
| + | iptables -A INPUT -i lo -j ACCEPT | ||
| + | iptables -A OUTPUT -o lo -j ACCEPT | ||
| + | # Allow UDP, DNS and Passive FTP | ||
| + | iptables -A INPUT -i $INTERNET -m state --state ESTABLISHED, | ||
| + | # set this system as a router for Rest of LAN | ||
| + | iptables --table nat --append POSTROUTING --out-interface $INTERNET -j MASQUERADE | ||
| + | iptables --append FORWARD --in-interface $LAN_IN -j ACCEPT | ||
| + | # unlimited access to LAN | ||
| + | iptables -A INPUT -i $LAN_IN -j ACCEPT | ||
| + | iptables -A OUTPUT -o $LAN_IN -j ACCEPT | ||
| + | # DNAT port 80 request comming from LAN systems to squid 3128 ($SQUID_PORT) aka transparent proxy | ||
| + | iptables -t nat -A PREROUTING -i $LAN_IN -p tcp --dport 80 -j DNAT --to $PROXY_SERVER: | ||
| + | # iptables -t nat -A PREROUTING -i br0 -p tcp --dport 80 -j REDIRECT --to-port 3128 | ||
| + | # if it is same system | ||
| + | iptables -t nat -A PREROUTING -i $INTERNET -p tcp --dport 80 -j REDIRECT --to-port $PROXY_PORT | ||
| + | # DROP everything and Log it | ||
| + | iptables -A INPUT -j LOG | ||
| + | iptables -A INPUT -j DROP | ||
| + | </ | ||
| - | ====RAID 5 - Striping avec Parité Distribuée==== | + | ====LAB #2 - La Configuration par firewalld sous RHEL/CentOS 7==== |
| - | Le RAID 5 est une technologie avec bandes | + | firewalld |
| - | {{: | + | * **trusted** - un réseau fiable. Dans ce cas tous les ports sont autorisés, |
| + | * **work**, **home**, **internal** - un réseau partiellement fiable. Dans ce cas quelques ports sont autorisés, | ||
| + | * **dmz**, **public**, **external** - un réseau non fiable. Dans ce cas peu de ports sont autorisés, | ||
| + | * **block**, **drop** - tout est interdit. La zone drop n' | ||
| - | ===Avantages=== | + | <WRAP center round important 50%> |
| + | **Important** - Une interface ne peut être que dans une zone à la fois tandis que plusieurs interfaces peuvent être dans la même zone. | ||
| + | </ | ||
| - | * Protection des données contre une défaillance d'un disque, | + | Le service firewalld doit toujours être lancé : |
| - | * Evite le goulot d' | + | |
| - | ===Inconvénients=== | + | < |
| + | [root@centos7 ~]# systemctl status firewalld.service | ||
| + | firewalld.service - firewalld - dynamic firewall daemon | ||
| + | | ||
| + | | ||
| + | Main PID: 493 (firewalld) | ||
| + | | ||
| + | | ||
| - | * Lecture moins performante qu' | + | Jul 07 15:53:56 centos7.fenestros.loc systemd[1]: Started firewalld - dynamic firewall daemon. |
| + | </ | ||
| - | ====Au délà | + | ===La Configuration |
| - | Il existe aussi deux autres technologies RAID, toute deux issues | + | La configuration par défaut |
| - | * RAID 6 | + | < |
| - | | + | [root@centos7 ~]# ls -l / |
| - | | + | total 12 |
| - | | + | drwxr-x---. 2 root root 4096 Jun 4 09:52 icmptypes |
| + | drwxr-x---. 2 root root 4096 Jun 4 09:52 services | ||
| + | drwxr-x---. 2 root root 4096 Jun 4 09:52 zones | ||
| + | [root@centos7 ~]# ls -l / | ||
| + | total 36 | ||
| + | -rw-r-----. 1 root root 299 Mar | ||
| + | -rw-r-----. 1 root root 293 Mar 6 00:35 dmz.xml | ||
| + | -rw-r-----. 1 root root 291 Mar 6 00:35 drop.xml | ||
| + | -rw-r-----. 1 root root 304 Mar 6 00:35 external.xml | ||
| + | -rw-r-----. 1 root root 400 Mar 6 00:35 home.xml | ||
| + | -rw-r-----. 1 root root 415 Mar 6 00:35 internal.xml | ||
| + | -rw-r-----. 1 root root 315 Mar 6 00:35 public.xml | ||
| + | -rw-r-----. 1 root root 162 Mar 6 00:35 trusted.xml | ||
| + | -rw-r-----. 1 root root 342 Mar 6 00:35 work.xml | ||
| + | [root@centos7 ~]# ls -l /usr/lib/firewalld/services | ||
| + | total 192 | ||
| + | -rw-r-----. 1 root root 412 Mar 6 00:35 amanda-client.xml | ||
| + | -rw-r-----. 1 root root 320 Mar 6 00:35 bacula-client.xml | ||
| + | -rw-r-----. 1 root root 346 Mar 6 00:35 bacula.xml | ||
| + | -rw-r-----. 1 root root 305 Mar 6 00:35 dhcpv6-client.xml | ||
| + | -rw-r-----. 1 root root 234 Mar 6 00:35 dhcpv6.xml | ||
| + | -rw-r-----. 1 root root 227 Mar 6 00:35 dhcp.xml | ||
| + | -rw-r-----. 1 root root 346 Mar 6 00:35 dns.xml | ||
| + | -rw-r-----. 1 root root 374 Mar 6 00:35 ftp.xml | ||
| + | -rw-r-----. 1 root root 476 Mar 6 00:35 high-availability.xml | ||
| + | -rw-r-----. 1 root root 448 Mar 6 00:35 https.xml | ||
| + | -rw-r-----. 1 root root 353 Mar 6 00:35 http.xml | ||
| + | -rw-r-----. 1 root root 372 Mar 6 00:35 imaps.xml | ||
| + | -rw-r-----. 1 root root 454 Mar 6 00:35 ipp-client.xml | ||
| + | -rw-r-----. 1 root root 427 Mar 6 00:35 ipp.xml | ||
| + | -rw-r-----. 1 root root 517 Mar 6 00:35 ipsec.xml | ||
| + | -rw-r-----. 1 root root 233 Mar 6 00:35 kerberos.xml | ||
| + | -rw-r-----. 1 root root 221 Mar 6 00:35 kpasswd.xml | ||
| + | -rw-r-----. 1 root root 232 Mar 6 00:35 ldaps.xml | ||
| + | -rw-r-----. 1 root root 199 Mar 6 00:35 ldap.xml | ||
| + | -rw-r-----. 1 root root 385 Mar 6 00:35 libvirt-tls.xml | ||
| + | -rw-r-----. 1 root root 389 Mar 6 00:35 libvirt.xml | ||
| + | -rw-r-----. 1 root root 424 Mar 6 00:35 mdns.xml | ||
| + | -rw-r-----. 1 root root 211 Mar 6 00:35 mountd.xml | ||
| + | -rw-r-----. 1 root root 190 Mar 6 00:35 ms-wbt.xml | ||
| + | -rw-r-----. 1 root root 171 Mar 6 00:35 mysql.xml | ||
| + | -rw-r-----. 1 root root 324 Mar 6 00:35 nfs.xml | ||
| + | -rw-r-----. 1 root root 389 Mar 6 00:35 ntp.xml | ||
| + | -rw-r-----. 1 root root 335 Mar 6 00:35 openvpn.xml | ||
| + | -rw-r-----. 1 root root 433 Mar 6 00:35 pmcd.xml | ||
| + | -rw-r-----. 1 root root 474 Mar 6 00:35 pmproxy.xml | ||
| + | -rw-r-----. 1 root root 544 Mar 6 00:35 pmwebapis.xml | ||
| + | -rw-r-----. 1 root root 460 Mar 6 00:35 pmwebapi.xml | ||
| + | -rw-r-----. 1 root root 357 Mar 6 00:35 pop3s.xml | ||
| + | -rw-r-----. 1 root root 181 Mar 6 00:35 postgresql.xml | ||
| + | -rw-r-----. 1 root root 261 Mar 6 00:35 proxy-dhcp.xml | ||
| + | -rw-r-----. 1 root root 446 Mar 6 00:35 radius.xml | ||
| + | -rw-r-----. 1 root root 517 Mar 6 00:35 RH-Satellite-6.xml | ||
| + | -rw-r-----. 1 root root 214 Mar 6 00:35 rpc-bind.xml | ||
| + | -rw-r-----. 1 root root 384 Mar 6 00:35 samba-client.xml | ||
| + | -rw-r-----. 1 root root 461 Mar 6 00:35 samba.xml | ||
| + | -rw-r-----. 1 root root 550 Mar 6 00:35 smtp.xml | ||
| + | -rw-r-----. 1 root root 463 Mar 6 00:35 ssh.xml | ||
| + | -rw-r-----. 1 root root 393 Mar 6 00:35 telnet.xml | ||
| + | -rw-r-----. 1 root root 301 Mar 6 00:35 tftp-client.xml | ||
| + | -rw-r-----. 1 root root 437 Mar 6 00:35 tftp.xml | ||
| + | -rw-r-----. 1 root root 211 Mar 6 00:35 transmission-client.xml | ||
| + | -rw-r-----. 1 root root 475 Mar 6 00:35 vnc-server.xml | ||
| + | -rw-r-----. 1 root root 310 Mar 6 00:35 wbem-https.xml | ||
| + | [root@centos7 ~]# ls -l /usr/lib/firewalld/ | ||
| + | total 36 | ||
| + | -rw-r-----. 1 root root 222 Mar 6 00:35 destination-unreachable.xml | ||
| + | -rw-r-----. 1 root root 173 Mar 6 00:35 echo-reply.xml | ||
| + | -rw-r-----. 1 root root 210 Mar 6 00:35 echo-request.xml | ||
| + | -rw-r-----. 1 root root 225 Mar 6 00:35 parameter-problem.xml | ||
| + | -rw-r-----. 1 root root 185 Mar 6 00:35 redirect.xml | ||
| + | -rw-r-----. 1 root root 227 Mar 6 00:35 router-advertisement.xml | ||
| + | -rw-r-----. 1 root root 223 Mar 6 00:35 router-solicitation.xml | ||
| + | -rw-r-----. 1 root root 248 Mar 6 00:35 source-quench.xml | ||
| + | -rw-r-----. 1 root root 253 Mar 6 00:35 time-exceeded.xml | ||
| + | </code> | ||
| - | =====RAID Logiciel sous RHEL/ | + | Ces fichiers sont au format **xml**, par exemple : |
| - | ====Préparation du disque==== | + | < |
| + | [root@centos7 ~]# cat / | ||
| + | <?xml version=" | ||
| + | < | ||
| + | < | ||
| + | < | ||
| + | <service name=" | ||
| + | <service name=" | ||
| + | <service name=" | ||
| + | <service name=" | ||
| + | <service name=" | ||
| + | </ | ||
| + | </ | ||
| - | ===Partitionnement=== | + | La configuration de firewalld ainsi que les définitions et règles personnalisées se trouvent dans **/ |
| + | |||
| + | < | ||
| + | [root@centos7 ~]# ls -l / | ||
| + | total 8 | ||
| + | -rw-r-----. 1 root root 1026 Mar 6 00:35 firewalld.conf | ||
| + | drwxr-x---. 2 root root 6 Mar 6 00:35 icmptypes | ||
| + | -rw-r-----. 1 root root 271 Mar 6 00:35 lockdown-whitelist.xml | ||
| + | drwxr-x---. 2 root root 6 Mar 6 00:35 services | ||
| + | drwxr-x---. 2 root root 23 Mar 6 00:35 zones | ||
| + | [root@centos7 ~]# ls -l / | ||
| + | total 4 | ||
| + | -rw-r--r--. 1 root root 315 Mar 8 14:05 public.xml | ||
| + | [root@centos7 ~]# ls -l / | ||
| + | total 0 | ||
| + | [root@centos7 ~]# ls -l / | ||
| + | total 0 | ||
| + | </ | ||
| - | Suite à votre LAB de la leçon | + | Le fichier |
| < | < | ||
| - | [root@centos7 ~]# fdisk -l | + | [root@centos7 ~]# cat / |
| + | # firewalld config file | ||
| - | Disk /dev/sda: 21.5 GB, 21474836480 bytes, 41943040 sectors | + | # default zone |
| - | Units = sectors | + | # The default zone used if an empty zone string is used. |
| - | Sector size (logical/ | + | # Default: public |
| - | I/O size (minimum/ | + | DefaultZone=public |
| - | Disk label type: dos | + | |
| - | Disk identifier: 0x000c5a90 | + | # Minimal mark |
| + | # Marks up to this minimum are free for use for example in the direct | ||
| + | # interface. If more free marks are needed, increase the minimum | ||
| + | # Default: 100 | ||
| + | MinimalMark=100 | ||
| + | |||
| + | # Clean up on exit | ||
| + | # If set to no or false the firewall configuration will not get cleaned up | ||
| + | # on exit or stop of firewalld | ||
| + | # Default: yes | ||
| + | CleanupOnExit=yes | ||
| + | |||
| + | # Lockdown | ||
| + | # If set to enabled, firewall changes with the D-Bus interface will be limited | ||
| + | # to applications that are listed in the lockdown whitelist. | ||
| + | # The lockdown whitelist file is lockdown-whitelist.xml | ||
| + | # Default: no | ||
| + | Lockdown=no | ||
| + | |||
| + | # IPv6_rpfilter | ||
| + | # Performs a reverse path filter test on a packet for IPv6. If a reply to the | ||
| + | # packet would be sent via the same interface that the packet arrived on, the | ||
| + | # packet will match and be accepted, otherwise dropped. | ||
| + | # The rp_filter for IPv4 is controlled using sysctl. | ||
| + | # Default: yes | ||
| + | IPv6_rpfilter=yes | ||
| - | | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| - | / | ||
| </ | </ | ||
| - | ====Mise en Place du RAID 5 Logiciel==== | + | ===La Commande firewall-cmd=== |
| - | Dans le cas de cet exemple les quatre partitions concernées par la mise en place d'un RAID 5 sont : | + | firewalld s' |
| - | <file> | + | <WRAP center round important 50%> |
| - | / | + | **Important** - firewall-cmd est le front-end de firewalld en ligne de commande. Il existe aussi la commande **firewall-config** qui lance un outi de configuration graphique. |
| - | / | + | </WRAP> |
| - | / | + | |
| - | / | + | |
| - | </file> | + | |
| - | La création d'une unité RAID avec la commande **mdadm** se fait grâce aux options passées en arguments à la commande : | + | Pour obtenir |
| < | < | ||
| - | mdadm --create <unité RAID> | + | [root@centos7 ~]# firewall-cmd --get-zones |
| + | block dmz drop external home internal public trusted work | ||
| </ | </ | ||
| - | Par exemple, saisissez | + | Pour obtenir la liste de toutes les services prédéfinis, utilisez |
| < | < | ||
| - | [root@centos7 ~]# mdadm --create / | + | [root@centos7 ~]# firewall-cmd --get-services |
| - | mdadm: Defaulting to version 1.2 metadata | + | RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https |
| - | mdadm: array /dev/md1 started. | + | |
| </ | </ | ||
| - | Les options dans la ligne de commande | + | Pour obtenir |
| - | ^ Option Courte ^ Option Longue ^ Description ^ | + | < |
| - | | -l | - -level | Le niveau RAID - **linear, 0,1,2,4 ou 5** | | + | [root@centos7 ~]# firewall-cmd --get-icmptypes |
| - | | -n | - -raid-devices=<nombre> | Le nombre de périphériques actifs dans le RAID | | + | destination-unreachable echo-reply echo-request parameter-problem redirect router-advertisement router-solicitation source-quench time-exceeded |
| + | </code> | ||
| - | Les autres options | + | Pour obtenir la liste des zones de la configuration courante, utilisez |
| < | < | ||
| - | [root@centos7 ~]# mdadm --help-options | + | [root@centos7 ~]# firewall-cmd --get-active-zones |
| - | Any parameter that does not start with '-' is treated as a device name | + | public |
| - | or, for --examine-bitmap, | + | |
| - | The first such name is often the name of an md device. | + | </ |
| - | names are often names of component devices. | + | |
| - | Some common options are: | + | Pour obtenir la liste des zones de la configuration courante pour une interface spécifique, utilisez la commande suivante |
| - | --help | + | |
| - | mode specific help message | + | |
| - | --help-options | + | |
| - | --version | + | |
| - | --verbose | + | |
| - | --quiet | + | |
| - | --brief | + | |
| - | --export | + | |
| - | | + | |
| - | --force | + | |
| - | --assemble | + | < |
| - | --build -B : Build an array without metadata | + | [root@centos7 ~]# firewall-cmd --get-zone-of-interface=enp0s3 |
| - | | + | public |
| - | --detail | + | |
| - | | + | |
| - | | + | |
| - | --examine-badblocks: | + | |
| - | --monitor | + | |
| - | --grow | + | |
| - | --incremental -I : add/remove a single device to/from an array as appropriate | + | |
| - | --query | + | |
| - | | + | |
| - | --auto-detect | + | |
| </ | </ | ||
| - | Les //modes majeurs// de la commande **mdadm** peuvent être visualisés grâce à la commande suivante : | + | Pour obtenir |
| < | < | ||
| - | [root@centos7 ~]# mdadm --help | + | [root@centos7 ~]# firewall-cmd --zone=public |
| - | mdadm is used for building, managing, and monitoring | + | dhcpv6-client ssh |
| - | Linux md devices (aka RAID arrays) | + | |
| - | Usage: mdadm --create device options... | + | |
| - | Create a new array from unused devices. | + | |
| - | | + | |
| - | | + | |
| - | mdadm --build device options... | + | |
| - | Create or assemble an array without metadata. | + | |
| - | mdadm --manage device options... | + | |
| - | make changes to an existing array. | + | |
| - | mdadm --misc options... devices | + | |
| - | report on or modify various md related devices. | + | |
| - | mdadm --grow options device | + | |
| - | resize/ | + | |
| - | mdadm --incremental device | + | |
| - | add/remove a device to/from an array as appropriate | + | |
| - | mdadm --monitor options... | + | |
| - | Monitor one or more array for significant changes. | + | |
| - | mdadm device options... | + | |
| - | Shorthand for --manage. | + | |
| - | Any parameter that does not start with ' | + | |
| - | or, for --examine-bitmap, | + | |
| - | The first such name is often the name of an md device. | + | |
| - | names are often names of component devices. | + | |
| - | + | ||
| - | For detailed help on the above major modes use --help after the mode | + | |
| - | | + | |
| - | mdadm --assemble --help | + | |
| - | For general help on options use | + | |
| - | mdadm --help-options | + | |
| </ | </ | ||
| - | Dernièrement, chaque //mode majeur// dispose de son propre aide : | + | Pour obtenir toute la configuration pour la zone public, utilisez la commande suivante |
| < | < | ||
| - | [root@centos7 ~]# mdadm --assemble | + | [root@centos7 ~]# firewall-cmd --zone=public |
| - | Usage: mdadm --assemble device options... | + | public (default, active) |
| - | mdadm --assemble --scan options... | + | |
| + | sources: | ||
| + | services: dhcpv6-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| - | This usage assembles one or more raid arrays from pre-existing | + | </ |
| - | components. | + | |
| - | For each array, mdadm needs to know the md device, the identity of | + | |
| - | the array, and a number of sub devices. These can be found in a number | + | |
| - | of ways. | + | |
| - | The md device is given on the command line, is found listed in the | + | Pour obtenir la liste complète de toutes les zones et leurs configurations, utilisez la commande suivante : |
| - | config file, or can be deduced from the array identity. | + | |
| - | The array identity is determined either from the --uuid, --name, or | + | |
| - | --super-minor commandline arguments, from the config file, | + | |
| - | or from the first component device on the command line. | + | |
| - | The different combinations of these are as follows: | + | < |
| - | If the --scan option is not given, then only devices and identities | + | [root@centos7 ~]# firewall-cmd --list-all-zones |
| - | listed on the command line are considered. | + | block |
| - | The first device will be the array device, and the remainder will be | + | interfaces: |
| - | examined when looking for components. | + | sources: |
| - | If an explicit identity is given with --uuid or --super-minor, then | + | services: |
| - | only devices with a superblock which matches that identity is considered, | + | ports: |
| - | otherwise every device listed is considered. | + | masquerade: no |
| + | | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | dmz | ||
| + | | ||
| + | sources: | ||
| + | services: ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | drop | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | external | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: ssh | ||
| + | ports: | ||
| + | masquerade: yes | ||
| + | forward-ports: | ||
| + | | ||
| + | rich rules: | ||
| + | |||
| + | home | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: dhcpv6-client ipp-client mdns samba-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | internal | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: dhcpv6-client ipp-client mdns samba-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | public (default, active) | ||
| + | interfaces: enp0s3 | ||
| + | sources: | ||
| + | services: dhcpv6-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | trusted | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | work | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: dhcpv6-client ipp-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | </ | ||
| - | If the --scan option is given, and no devices are listed, then | + | Pour changer la zone par défaut de public à work, utilisez la commande suivante : |
| - | every array listed in the config file is considered for assembly. | + | |
| - | The identity of candidate devices are determined from the config file. | + | |
| - | After these arrays are assembled, mdadm will look for other devices | + | |
| - | that could form further arrays and tries to assemble them. This can | + | |
| - | be disabled using the ' | + | |
| - | If the --scan option is given as well as one or more devices, then | + | < |
| - | Those devices are md devices that are to be assembled. | + | [root@centos7 ~]# firewall-cmd --set-default-zone=work |
| - | and components are determined from the config file. | + | success |
| + | [root@centos7 ~]# firewall-cmd --get-active-zones | ||
| + | work | ||
| + | | ||
| + | </ | ||
| - | If mdadm can not find all of the components for an array, it will assemble | + | Pour ajouter l' |
| - | it but not activate it unless --run or --scan is given. | + | |
| - | | + | |
| - | | + | |
| - | as recorded in the superblock. | + | |
| - | the missing device is not a new problem, it will still be assembled. | + | |
| - | is only newly missing devices that cause the array not to be started. | + | |
| - | Options that are valid with --assemble (-A) are: | + | < |
| - | --bitmap= | + | [root@centos7 ~]# firewall-cmd --zone=work --add-interface=ip_fixe |
| - | | + | success |
| - | have this uuid are excluded | + | [root@centos7 ~]# firewall-cmd --get-active-zones |
| - | | + | work |
| - | choosing devices to use. | + | |
| - | --name= -N : Array name to look for in super-block. | + | |
| - | | + | |
| - | | + | |
| - | | + | |
| - | for a full array are present | + | |
| - | --force | + | |
| - | : out-of-date. | + | |
| - | --update= | + | |
| - | --no-degraded | + | |
| - | --readonly | + | |
| </ | </ | ||
| - | Constatez maintenant les informations concernant le RAID 5 créé | + | Pour supprimer l' |
| < | < | ||
| - | [root@centos7 ~]# cat / | + | [root@centos7 ~]# firewall-cmd --zone=work --remove-interface=ip_fixe |
| - | Personalities : [raid6] [raid5] [raid4] | + | success |
| - | md1 : active | + | [root@centos7 ~]# firewall-cmd --get-active-zones |
| - | 1021952 blocks super 1.2 level 5, 512k chunk, algorithm 2 [3/3] [UUU] | + | work |
| - | + | | |
| - | unused devices: < | + | |
| </ | </ | ||
| - | Grâce | + | Pour ajouter le service **http** |
| < | < | ||
| - | [root@centos7 ~]# mdadm --query /dev/md1 | + | [root@centos7 ~]# firewall-cmd --zone=work --add-service=http |
| - | /dev/md1: 998.17MiB raid5 3 devices, 0 spares. Use mdadm --detail for more detail. | + | success |
| + | [root@centos7 ~]# firewall-cmd --zone=work --list-services | ||
| + | dhcpv6-client http ipp-client ssh | ||
| </ | </ | ||
| - | L' | + | Pour supprimer le service |
| < | < | ||
| - | [root@centos7 ~]# mdadm --detail /dev/md1 | + | [root@centos7 ~]# firewall-cmd --zone=work --remove-service=http |
| - | /dev/md1: | + | success |
| - | | + | [root@centos7 ~]# firewall-cmd --zone=work --list-services |
| - | | + | dhcpv6-client ipp-client ssh |
| - | Raid Level : raid5 | + | </ |
| - | Array Size : 1021952 (998.17 MiB 1046.48 MB) | + | |
| - | Used Dev Size : 510976 (499.08 MiB 523.24 MB) | + | |
| - | Raid Devices : 3 | + | |
| - | Total Devices : 3 | + | |
| - | Persistence : Superblock is persistent | + | |
| - | Update Time : Tue Aug 2 15:10:17 2016 | + | Pour ajouter un nouveau bloc ICMP, utilisez la commande suivante |
| - | State : clean | + | |
| - | | + | |
| - | Working Devices : 3 | + | |
| - | | + | |
| - | Spare Devices : 0 | + | |
| - | | + | < |
| - | Chunk Size : 512K | + | [root@centos7 ~]# firewall-cmd --zone=work --add-icmp-block=echo-reply |
| + | success | ||
| + | [root@centos7 ~]# firewall-cmd --zone=work --list-icmp-blocks | ||
| + | echo-reply | ||
| + | </ | ||
| - | | + | Pour supprimer un bloc ICMP, utilisez la commande suivante |
| - | UUID : fd8bac53: | + | |
| - | | + | |
| - | Number | + | < |
| - | 0 | + | [root@centos7 ~]# firewall-cmd --zone=work --remove-icmp-block=echo-reply |
| - | 1 | + | success |
| - | 3 | + | [root@centos7 ~]# firewall-cmd --zone=work --list-icmp-blocks |
| + | [root@centos7 ~]# | ||
| </ | </ | ||
| - | Notez la ligne **Persistence : Superblock is persistent**. En effet, cette implémentation de RAID inscrit les caractéristiques du volume dans un //super bloc// persistant en début de chaque unité de type bloc dans le volume. | + | Pour ajouter le port 591/tcp à la zone work, utilisez |
| - | + | ||
| - | <WRAP center round todo> | + | |
| - | Recherchez | + | |
| - | </ | + | |
| - | + | ||
| - | Cependant, il necéssaire de renseigner le fichier **/ | + | |
| < | < | ||
| - | [root@centos7 ~]# echo ' | + | [root@centos7 ~]# firewall-cmd --zone=work --add-port=591/tcp |
| - | [root@centos7 ~]# mdadm --detail | + | success |
| - | [root@centos7 ~]# cat /etc/ | + | [root@centos7 ~]# firewall-cmd --zone=work |
| - | DEVICES /dev/sda5 /dev/sda8 / | + | 591/tcp |
| - | ARRAY /dev/md1 metadata=1.2 name=centos7.fenestros.loc: | + | |
| </ | </ | ||
| - | Chaque unité peut être examinée individuellement | + | Pour supprimer le port 591/tcp à la zone work, utilisez la commande suivante |
| < | < | ||
| - | [root@centos7 ~]# mdadm --examine /dev/sda5 | + | [root@centos7 ~]# firewall-cmd --zone=work --remove-port=591/tcp |
| - | /dev/sda5: | + | success |
| - | Magic : a92b4efc | + | [root@centos7 ~]# firewall-cmd --zone=work --list-ports |
| - | Version : 1.2 | + | [root@centos7 |
| - | | + | </ |
| - | Array UUID : fd8bac53: | + | |
| - | Name : centos7.fenestros.loc: | + | |
| - | | + | |
| - | Raid Level : raid5 | + | |
| - | Raid Devices : 3 | + | |
| - | Avail Dev Size : 1021952 (499.08 MiB 523.24 MB) | + | Pour créer un nouveau service, il convient de : |
| - | Array Size : 1021952 (998.17 MiB 1046.48 MB) | + | |
| - | Data Offset : 2048 sectors | + | |
| - | Super Offset : 8 sectors | + | |
| - | | + | |
| - | State : clean | + | |
| - | Device UUID : 4569e15e: | + | |
| - | Update Time : Tue Aug 2 15:10:17 2016 | + | * copier un fichier existant se trouvant dans le répertoire **/ |
| - | | + | * modifier le fichier, |
| - | Checksum : 4c9948d0 - correct | + | |
| - | | + | * vérifier que firewalld voit le nouveau service. |
| - | | + | Par exemple |
| - | Chunk Size : 512K | + | |
| - | | + | < |
| - | Array State : AAA (' | + | [root@centos7 ~]# cp / |
| + | [root@centos7 ~]# | ||
| + | [root@centos7 ~]# cat / | ||
| + | <?xml version="1.0" encoding=" | ||
| + | < | ||
| + | < | ||
| + | < | ||
| + | <port protocol=" | ||
| + | </ | ||
| + | [root@centos7 ~]# | ||
| + | [root@centos7 ~]# firewall-cmd --reload | ||
| + | success | ||
| + | [root@centos7 ~]# | ||
| + | [root@centos7 ~]# firewall-cmd --get-services | ||
| + | RH-Satellite-6 amanda-client bacula bacula-client dhcp dhcpv6 dhcpv6-client dns filemaker ftp high-availability http https imaps ipp ipp-client ipsec kerberos kpasswd ldap ldaps libvirt libvirt-tls mdns mountd ms-wbt mysql nfs ntp openvpn pmcd pmproxy pmwebapi pmwebapis pop3s postgresql proxy-dhcp radius rpc-bind samba samba-client smtp ssh telnet tftp tftp-client transmission-client vnc-server wbem-https | ||
| </ | </ | ||
| - | A ce stade il est intéressant | + | ===La Configuration Avancée |
| - | < | + | La configuration de base de firewalld ne permet que la configuration des zones, services, blocs ICMP et les ports non-standard. Cependant firewalld peut également être configuré avec des **Rich Rules** ou **//Règles Riches//**. Rich Rules ou Règles Riches évaluent des **critères** pour ensuite entreprendre une **action**. |
| - | [root@centos7 ~]# mdadm --manage --set-faulty /dev/md1 /dev/sda5 | + | |
| - | mdadm: set /dev/sda5 faulty in /dev/md1 | + | |
| - | </code> | + | |
| - | L' | + | Les **Critères** sont : |
| - | <code> | + | * **source address=" |
| - | [root@centos7 ~]# mdadm --detail /dev/md1 | + | * **destination address="< |
| - | /dev/md1: | + | |
| - | Version : 1.2 | + | |
| - | | + | |
| - | Raid Level : raid5 | + | |
| - | Array Size : 1021952 (998.17 MiB 1046.48 MB) | + | |
| - | | + | |
| - | Raid Devices : 3 | + | |
| - | Total Devices : 3 | + | |
| - | Persistence : Superblock is persistent | + | |
| - | Update Time : Tue Aug 2 15:14:59 2016 | + | Les **Actions** sont : |
| - | State : clean, degraded | + | |
| - | | + | |
| - | Working Devices : 2 | + | |
| - | | + | |
| - | Spare Devices : 0 | + | |
| - | | + | * **accept**, |
| - | Chunk Size : 512K | + | * **reject**, |
| + | * une Action reject peut être associée avec un message d' | ||
| + | * **drop**. | ||
| - | | + | Saisissez la commande suivante pour ouvrir le port 80 : |
| - | UUID : fd8bac53: | + | |
| - | | + | |
| - | Number | + | < |
| - | 0 | + | [root@centos7 ~]# firewall-cmd --add-rich-rule=' |
| - | 1 | + | success |
| - | 3 | + | </code> |
| - | | + | <WRAP center round important 50%> |
| + | **Important** | ||
| + | </WRAP> | ||
| + | |||
| + | Saisissez la commande suivante pour visualiser la règle iptables pour IPv4 : | ||
| + | |||
| + | < | ||
| + | [root@centos7 ~]# iptables -L -n | grep 80 | ||
| + | ACCEPT | ||
| </ | </ | ||
| - | Il est maintenant nécessaire de supprimer /dev/sda5 de notre RAID 5 : | + | Saisissez la commande suivante pour visualiser la règle iptables pour IPv6 : |
| < | < | ||
| - | [root@centos7 ~]# mdadm --manage --remove | + | [root@centos7 ~]# ip6tables |
| - | mdadm: hot removed | + | ACCEPT |
| + | ACCEPT | ||
| </ | </ | ||
| - | A l'examen de notre RAID, on constate que /dev/sda5 a été supprimé | + | <WRAP center round important 50%> |
| + | **Important** - Notez que la Rich Rule a créé deux règles, une pour IPv4 et une deuxième pour IPv6. Une règle peut être créée pour IPv4 seul en incluant le Critère **family=ipv4**. De la même façon, une règle peut être créée pour IPv6 seul en incluant le Critère **family=ipv6**. | ||
| + | </ | ||
| + | |||
| + | Cette nouvelle règle est écrite en mémoire mais non pas sur disque. Pour l'écrire sur disque dans le fichier zone se trouvant dans **/etc/firewalld**, | ||
| < | < | ||
| - | [root@centos7 ~]# mdadm --detail | + | [root@centos7 ~]# firewall-cmd --add-rich-rule=' |
| - | /dev/md1: | + | success |
| - | | + | [root@centos7 ~]# |
| - | | + | [root@centos7 ~]# cat /etc/firewalld/zones/work.xml |
| - | Raid Level : raid5 | + | <?xml version=" |
| - | Array Size : 1021952 (998.17 MiB 1046.48 MB) | + | < |
| - | | + | |
| - | Raid Devices : 3 | + | < |
| - | | + | |
| - | | + | < |
| + | | ||
| + | < | ||
| + | | ||
| + | < | ||
| + | </ | ||
| + | </ | ||
| + | </ | ||
| - | Update Time : Tue Aug 2 15:16:41 2016 | + | <WRAP center round important 50%> |
| - | State : clean, degraded | + | **Important** - Attention ! La règle ajoutée avec l' |
| - | Active Devices : 2 | + | </ |
| - | Working Devices : 2 | + | |
| - | | + | |
| - | Spare Devices : 0 | + | |
| - | | + | Pour visualiser cette règle dans la configuration de firewalld, il convient de saisir la commande suivante |
| - | Chunk Size : 512K | + | |
| - | Name : centos7.fenestros.loc:1 (local to host centos7.fenestros.loc) | + | < |
| - | UUID : fd8bac53:1457a4f4:30feab84:e0f9d8e0 | + | [root@centos7 |
| - | Events | + | ... |
| + | work (default, active) | ||
| + | | ||
| + | sources: | ||
| + | services: dhcpv6-client ipp-client ssh | ||
| + | ports: | ||
| + | | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | rule port port=" | ||
| - | Number | ||
| - | | ||
| - | | ||
| - | | ||
| </ | </ | ||
| - | Constatez maintenant | + | Notez que la Rich Rule est créée dans la Zone par Défaut. Il est possible de créer une Rich Rule dans une autre zone en utilisant |
| < | < | ||
| - | [root@centos7 ~]# cat / | + | [root@centos7 ~]# firewall-cmd --zone=public --add-rich-rule=' |
| - | Personalities : [raid6] [raid5] [raid4] | + | success |
| - | md1 : active raid5 sda11[3] sda8[1] | + | [root@centos7 ~]# firewall-cmd --list-all-zones |
| - | | + | ... |
| - | + | public | |
| - | unused devices: < | + | interfaces: |
| + | | ||
| + | services: dhcpv6-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | rule port port=" | ||
| + | trusted | ||
| + | interfaces: | ||
| + | sources: | ||
| + | services: | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | |||
| + | work (default, active) | ||
| + | | ||
| + | | ||
| + | services: dhcpv6-client ipp-client ssh | ||
| + | ports: | ||
| + | masquerade: no | ||
| + | forward-ports: | ||
| + | icmp-blocks: | ||
| + | rich rules: | ||
| + | rule port port=" | ||
| </ | </ | ||
| - | <WRAP center round important> | ||
| - | Notez que le RAID a été démarré avec 2 unités au lieu de trois. | ||
| - | </ | ||
| - | Pour ajouter un autre disque à notre RAID afin de remplacer / | + | Pour supprimer une Rich Rule, il faut copier la ligne entière la concernant qui se trouve dans la sortie de la commande |
| < | < | ||
| - | [root@centos7 ~]# mdadm --manage | + | [root@centos7 ~]# firewall-cmd --zone=public |
| - | mdadm: added /dev/sda10 | + | success |
| </ | </ | ||
| - | L' | + | ===Le mode Panic de firewalld=== |
| + | |||
| + | Le mode Panic de firewalld permet de bloquer tout le trafic avec une seule commande. Pour connaître l' | ||
| < | < | ||
| - | [root@centos7 ~]# mdadm --detail /dev/md1 | + | [root@centos7 ~]# firewall-cmd --query-panic |
| - | /dev/md1: | + | no |
| - | Version : 1.2 | + | </code> |
| - | Creation Time : Tue Aug 2 15:10:12 2016 | + | |
| - | Raid Level : raid5 | + | |
| - | Array Size : 1021952 (998.17 MiB 1046.48 MB) | + | |
| - | Used Dev Size : 510976 (499.08 MiB 523.24 MB) | + | |
| - | Raid Devices : 3 | + | |
| - | Total Devices : 3 | + | |
| - | Persistence : Superblock is persistent | + | |
| - | Update Time : Tue Aug 2 15:19:06 2016 | + | Pour activer le mode Panic, il convient de saisir la commande suivante |
| - | State : clean | + | |
| - | | + | |
| - | Working Devices : 3 | + | |
| - | | + | |
| - | Spare Devices : 0 | + | |
| - | | + | < |
| - | Chunk Size : 512K | + | [root@centos7 |
| - | + | success | |
| - | Name : centos7.fenestros.loc: | + | [root@centos7 ~]# firewall-cmd --query-panic |
| - | UUID : fd8bac53: | + | yes |
| - | Events : 40 | + | |
| - | + | ||
| - | Number | + | |
| - | | + | |
| - | | + | |
| - | 3 | + | |
| </ | </ | ||
| - | Naturellement, il necéssaire | + | Pour désactiver le mode Panic, il convient |
| < | < | ||
| - | [root@centos7 ~]# echo ' | + | [root@centos7 ~]# firewall-cmd --panic-off |
| - | [root@centos7 ~]# mdadm --detail | + | success |
| - | [root@centos7 ~]# cat / | + | [root@centos7 ~]# firewall-cmd --query-panic |
| - | DEVICES /dev/sda10 /dev/sda8 / | + | no |
| - | ARRAY /dev/md1 metadata=1.2 name=centos7.fenestros.loc: | + | |
| </ | </ | ||
| ----- | ----- | ||
| - | < | + | |
| - | <div align=" | + | Copyright © 2023 Hugh Norris. |
| - | Copyright © 2022 Hugh Norris. | + | |
| - | </ | + | |
