URL: https://linuxfr.org/forums/linux-redhat/posts/firewalld-l-advance-des-pare-feux Title: firewalld, l'Advance des pare-feux ? Authors: WhiteCat Date: 2016年12月14日T10:40:53+01:00 License: CC By-SA Tags: bug, pare-feu et fedora Score: 0 Bonjour, Je post ici pour vous demander si c'est moi qui suis con et ne sais pas utiliser firewalld, ou bien si ce pare-feu est une merde qui ne fais même pas le minimum qu'on lui demande ? Alors j'ai eu ma première expérience quand j'ai voulu m'intéresser un peu à ce pare-feu lorsqu'il est apparu avec CentOS 7. Je me suis logiquement tourné vers la doc officielle de Red Hat, et j'avais constaté alors que le simple argument "--permanent" ne fonctionnait pas. Bon a priori aujourd'hui cela semble bien fonctionner mais on voyait déjà que ça partait mal dès le début. Le truc qui a été jeté par les dev en prod sans QA. Puis j'avais mis de côté ma "formation" à ce pare-feu pendant un long moment jusqu'à la semaine dernière. J'avais un besoin que je vous expose brièvement. Dans la boîte où je bosse, sur un réseau isolé qui contient quelques machines dont on ne maîtrise pas totalement ce qu'il y a dessus, je soupçonnais le fait qu'il y ai un 2e serveur DHCP sur le LAN. Chose anormale. Je me suis donc dit que j'allais mettre un PC avec Fedora sur le réseau et que j'allais bloqué avec le pare-feu du PC l'adresse IP du serveur DHCP légitime. Ainsi s'il y a un 2e serveur DHCP c'est forcément lui qui devrait répondre à mon PC. Donc je configure firewalld pour bloquer l'adresse IP de mon serveur DHCP légitime : # firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=172.16.30.254/32 drop" success # systemctl restart firewalld # firewall-cmd --list-all FedoraWorkstation (active) target: default icmp-block-inversion: no interfaces: wlp1s0 sources: services: dhcpv6-client ssh mdns samba-client ports: 1025-65535/udp 1025-65535/tcp protocols: masquerade: no forward-ports: source-ports: icmp-blocks: rich rules: rule family="ipv4" destination address="172.16.30.254/32" drop Donc tout est OK. Normalement je ne suis plus censé pouvoir communiquer avec 172.16.30.254 ?! $ ping 172.16.30.254 PING 172.16.30.254 (172.16.30.254) 56(84) bytes of data. 64 bytes from 172.16.30.254: icmp_seq=1 ttl=64 time=3.20 ms 64 bytes from 172.16.30.254: icmp_seq=2 ttl=64 time=6.32 ms ^C --- 172.16.30.254 ping statistics --- 2 packets transmitted, 2 received, 0% packet loss, time 1001ms rtt min/avg/max/mdev = 3.202/4.764/6.327/1.564 ms WTF ?!