Firewalldの詳細制御を検討しておりまして、以下の問題に突き当たっております

■前提定義  
・ゾーンは一切不使用  
・ゾーン不使用と記載しましたが、正確には全標準ゾーンをDROPとする  
⇒標準のpublic(active)もtargetをDROPにする  
・ダイレクトルールでINPUT/OUTPUTを必要に応じて解放する  
・バックエンドはnftables

■ダイレクトルール内容  
ipv4 filter INPUT 1000 -i lo -j ACCEPT  
ipv4 filter INPUT 1001 -i ens160 -s <ens160のIP>/32 -j ACCEPT  
ipv4 filter INPUT 1002 -i ens224 -s <ens224のIP>/32 -j ACCEPT  
ipv4 filter INPUT 1005 -m state --state RELATED,ESTABLISHED -j ACCEPT  
ipv4 filter INPUT 1020 -m state --state NEW -p icmp --icmp-type echo-request
-j ACCEPT  
ipv4 filter INPUT 2001 -i ens224 -s <ens160のIP>/32 -m state --state NEW -m tcp
-p tcp --dport=22 -j ACCEPT  
ipv4 filter INPUT 2003 -i ens160 -s <ens160のIP>/32 -m state --state NEW -m tcp
-p tcp --dport=80 -j ACCEPT  
ipv4 filter INPUT 2005 -i ens160 -s <ens160のIP>/32 -m state --state NEW -m tcp
-p tcp --dport=20:21 -j ACCEPT  
ipv4 filter INPUT 9998 -m tcp -p tcp -j DROP  
ipv4 filter INPUT 9999 -m udp -p udp -j DROP  
ipv4 filter OUTPUT 1000 -o lo -j ACCEPT  
ipv4 filter OUTPUT 1005 -m state --state RELATED,ESTABLISHED -j ACCEPT  
ipv4 filter OUTPUT 1006 -m state --state NEW -p icmp --icmp-type echo-request
-j ACCEPT  
ipv4 filter OUTPUT 9998 -m tcp -p tcp -j DROP  
ipv4 filter OUTPUT 9999 -m udp -p udp -j DROP

public(active)  
target: DROP  
icmp-block-inversion: no  
interfaces: ens160 ens224  
sources:  
services:  
ports:  
protocols:  
forward: no  
masquerade: no  
forward-ports:  
source-ports:  
icmp-blocks:  
rich rules:

とした場合、ダイレクトルールが優先されず、何故かpublicゾーンのターゲットポリシーのDROPが  
優先されてしまいます。もちろん、ACCEPTに戻せばダイレクトルールの指定範囲で正常稼働します。  
また、バックエンドをnftablesからiptablesにすることでも正常稼働します。

nftables/iptablesの概念が異なるという点は認識しています(具体的に何がどう違うという点は流石  
に調べ切れておりませんが・・・)。

<https://firewalld.org/documentation/man-pages/firewalld.direct.html>  
のCaveatsがその辺の意図した記述なのかと思うのですが、ビシッと当てはまる項目が無いため困惑  
しております(上記のCaveatsで最後の方にあるfirewalld's top-level internal rulesって何？)

やりたい事としては、iptables時代のINPUT/OUTPUT/FORWARDチェインのデフォルトポリシーを  
DROPとしてその後開けたいポートを開けるという方法を模索した結果、ここで詰まっているという  
状況です。

長くなりましたが、何か情報お持ちでしたらご教示頂ければ幸いです  
以上です
CC BY-SA 4.0
2022-10-26T06:51:14.560
91833
2022-10-26T06:51:14.560
55044
question
linux centos network
Firewalldのダイレクトルールとゾーンのターゲットポリシーについて