firewalld + ipset with CentOS7

firewalld + ipset with CentOS7

아마도 CentOS7에서 firewalld 와 ipset 은 기본 설치 되어 있음, 안되어 있으면 yum 으로 설치

ipset rule 생성 (DROP_IP 라는 이름의 ipset 생성)

firewall-cmd --permanent --new-ipset=DROP_IP --type=hash:ip

지원하는 ipset 의 hash 정보

firewall-cmd --permanent --get-ipsets

차단하는 firewalld rule 생성

firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -m set --match-set DROP_IP src -j DROP
firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -m set --match-set DROP_IP src -p tcp -m multiport --dport 80,443 -j DROP

/etc/firewalld/direct.xml 커맨드 날리면 저장되는 파일 위치

ipset 아이피 등록하기

firewall-cmd --permanent --ipset=DROP_IP --add-entry=192.168.0.1

ipset 아이피 삭제하기

firewall-cmd --permanent --ipset=DROP_IP --remove-entry=192.168.0.1

ipset 정보 보기 (DROP_IP)

firewall-cmd --permanent --info-ipset=DROP_IP

방화벽 재시작

firewall-cmd --reload

firewall-cmd 로 실행한 다음 재시작을 무조건 해야 적용됨

ipset

ipset -A DROP_IP 192.168.0.1
ipset -D DROP_IP 192.168.0.1

ipset 명령어로 따로 제어가 가능하지만 메모리에 저장되고 리부팅하면 사라지기 때문에 firewall-cmd --permanent 로 적용하였다
ipset 으로 제어하기 위해서는 리부팅이나 재시작이 될때 스크립트가 필요할지도 모른다