firewalld-Zonen und -Regeln verwalten, ohne sich per SSH auszusperren

Ziel

Änderungen an den von firewalld erlaubten Verbindungen vornehmen, ohne dass sie beim Reload verloren gehen und ohne die SSH-Sitzung zu kappen, über die gearbeitet wird.

Voraussetzungen

Root- oder sudo-Zugriff; firewalld läuft (systemctl status firewalld).

Schritte

1. Prüfen, welche Zone an welches Interface gebunden ist und welche Zone als Standard für alles Nichtzugeordnete gilt:

firewall-cmd --get-active-zones
firewall-cmd --get-default-zone

Eine Zone steht für eine Vertrauensstufe; laut Zonenreferenz von firewalld reicht die Skala von trusted (alles erlauben) bis drop (jeglichen eingehenden Verkehr stillschweigend verwerfen). 2. Anzeigen, was eine Zone aktuell erlaubt:

firewall-cmd --zone=public --list-all

3. Eine Änderung ohne weitere Option wirkt nur auf die laufende Firewall und geht beim nächsten Reload oder Neustart verloren:

firewall-cmd --add-service=http

Mit --permanent wird sie stattdessen in die gespeicherte Konfiguration geschrieben, ohne die laufende Firewall vorerst zu verändern:

firewall-cmd --permanent --add-service=http

4. Eine gespeicherte permanente Änderung aktivieren:

firewall-cmd --reload

--reload verwirft jede nur zur Laufzeit vorgenommene Änderung, die noch nicht permanent gemacht wurde – eine Änderung, die nur mit der Syntax aus Schritt 3 erfolgt ist, verschwindet hier. 5. Bereits getestete Laufzeitänderungen lassen sich übernehmen, statt sie erneut als permanente Regeln einzugeben:

firewall-cmd --runtime-to-permanent

6. Wo es einen benannten Dienst gibt, diesen einer reinen Portangabe vorziehen (--add-service=ssh statt --add-port=22/tcp) – Dienste sind die von firewalld selbst dokumentierten Definitionen.
7. Für alles, was genauer sein muss als ein Dienst oder Port – etwa die Einschränkung nach Quelladresse –, eine Rich Rule verwenden:

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.0/24" service name="ssh" accept'

Erwartetes Ergebnis

firewall-cmd --list-all --zone=<zone> zeigt nach einem Reload den neuen Dienst, den neuen Port oder die neue Rich Rule an.

Grenzen und Prüfbasis

Vor jeder Änderung auf einem entfernten Host, die die Zone betrifft, in der SSH selbst liegt, eine zweite SSH-Sitzung als Sicherheitsnetz offen halten. Eine restriktive Änderung zuerst mit --timeout=<seconds> testen (eine reine Laufzeitregel, die von selbst abläuft), damit sich ein Fehler selbst behebt und kein Konsolenzugriff nötig wird. Rückgängig machen lässt sich eine Änderung mit --remove-service, --remove-port oder --remove-rich-rule, jeweils gefolgt von --reload, falls sie mit --permanent angewendet wurde.