Cómo comprobar si una zona de firewall de red está activa en Linux

Introducción

En este laboratorio, aprenderá cómo verificar si una zona de firewall de red está activa en Linux utilizando firewalld. Comenzaremos utilizando el comando firewall-cmd --get-active-zones para identificar las zonas actualmente activas y las interfaces de red asociadas a ellas.

A continuación, exploraremos los archivos de configuración de firewalld ubicados en el directorio /etc/firewalld para entender dónde se definen las reglas de zona. Finalmente, inspeccionaremos las reglas subyacentes de iptables para ver cómo firewalld traduce sus configuraciones de zona en reglas reales de filtrado de paquetes. Este laboratorio proporciona una comprensión básica de cómo firewalld gestiona la seguridad de red en su sistema Linux.

Skills Graph

%%%%{init: {'theme':'neutral'}}%%%% flowchart RL linux(("Linux")) -.-> linux/SystemInformationandMonitoringGroup(["System Information and Monitoring"]) linux(("Linux")) -.-> linux/RemoteAccessandNetworkingGroup(["Remote Access and Networking"]) linux(("Linux")) -.-> linux/BasicFileOperationsGroup(["Basic File Operations"]) linux/BasicFileOperationsGroup -.-> linux/ls("Content Listing") linux/BasicFileOperationsGroup -.-> linux/cat("File Concatenating") linux/SystemInformationandMonitoringGroup -.-> linux/service("Service Managing") linux/RemoteAccessandNetworkingGroup -.-> linux/ifconfig("Network Configuring") linux/RemoteAccessandNetworkingGroup -.-> linux/netstat("Network Monitoring") linux/RemoteAccessandNetworkingGroup -.-> linux/ip("IP Managing") subgraph Lab Skills linux/ls -.-> lab-558734{{"Cómo comprobar si una zona de firewall de red está activa en Linux"}} linux/cat -.-> lab-558734{{"Cómo comprobar si una zona de firewall de red está activa en Linux"}} linux/service -.-> lab-558734{{"Cómo comprobar si una zona de firewall de red está activa en Linux"}} linux/ifconfig -.-> lab-558734{{"Cómo comprobar si una zona de firewall de red está activa en Linux"}} linux/netstat -.-> lab-558734{{"Cómo comprobar si una zona de firewall de red está activa en Linux"}} linux/ip -.-> lab-558734{{"Cómo comprobar si una zona de firewall de red está activa en Linux"}} end

Verificar zonas con firewall-cmd --get-active-zones

En este paso, comenzaremos a explorar firewalld, la herramienta de gestión dinámica de firewall en Linux. Los firewalls son cruciales para la seguridad de la red, ya que controlan el tráfico que se permite entrar y salir de su sistema.

firewalld utiliza el concepto de "zonas" para gestionar las reglas del firewall. Las zonas definen el nivel de confianza para las conexiones de red. Diferentes zonas tienen reglas predeterminadas diferentes. Por ejemplo, una zona "pública" podría tener reglas más estrictas que una zona "de confianza".

Vamos a verificar qué zonas están actualmente activas en su sistema. Utilizaremos el comando firewall-cmd con la opción --get-active-zones.

Abra su terminal si no está abierta. Recuerde que puede encontrar el icono de Xfce Terminal en el lado izquierdo de su escritorio.

Escriba el siguiente comando y presione Enter:

firewall-cmd --get-active-zones

Debería ver una salida similar a esta:

public
  interfaces: eth0

Esta salida nos dice que la zona public está actualmente activa y está asociada con la interfaz de red eth0. La interfaz eth0 es cómo su máquina virtual se conecta a la red.

Comprender las zonas activas es el primer paso para gestionar su firewall con firewalld. En los siguientes pasos, veremos los archivos de configuración y cómo se aplican las reglas.

Haga clic en Continuar para continuar.

Verificar la configuración de firewalld con cat /etc/firewalld

En el paso anterior, vimos qué zonas de firewalld están activas. Ahora, echemos un vistazo a dónde firewalld almacena sus archivos de configuración. Estos archivos definen las reglas para cada zona.

El directorio principal de configuración de firewalld es /etc/firewalld. Dentro de este directorio, encontrará subdirectorios para zonas, servicios y otros elementos de configuración.

Podemos usar el comando cat para ver el contenido de los archivos. Para ver lo que hay dentro del directorio /etc/firewalld, podríamos intentar usar cat en él, pero cat está diseñado para archivos, no para directorios. En cambio, listemos el contenido del directorio usando el comando ls.

Escriba el siguiente comando y presione Enter:

ls /etc/firewalld/

Debería ver una lista de directorios y archivos, algo como esto:

icmptypes  lockdown-whitelist.xml  modules  panic-iface.conf  services  zones

Esto muestra la estructura de la configuración de firewalld. El directorio zones es particularmente importante, ya que contiene los archivos de configuración para cada zona (como public.xml, trusted.xml, etc.).

Echemos un vistazo dentro del directorio zones. Escriba:

ls /etc/firewalld/zones/

Verá una lista de archivos XML, uno para cada zona predefinida:

block.xml  dmz.xml  drop.xml  external.xml  home.xml  internal.xml  public.xml  trusted.xml  work.xml

Estos archivos XML contienen las reglas específicas para cada zona. Por ejemplo, public.xml define las reglas para la zona public que vimos estaba activa en el paso anterior.

Si bien no profundizaremos en los detalles de los archivos XML en este laboratorio, saber dónde se almacena la configuración es una parte clave de la comprensión de firewalld.

Haga clic en Continuar para pasar al siguiente paso.

Inspeccionar las reglas de iptables con iptables -L

Si bien firewalld es la forma moderna de gestionar firewalls en muchas distribuciones de Linux, a menudo funciona configurando el marco subyacente netfilter, que tradicionalmente se gestiona con el comando iptables.

Incluso cuando se utiliza firewalld, todavía se pueden inspeccionar las reglas que firewalld ha creado en netfilter utilizando el comando iptables. Esto puede ser útil para entender cómo firewalld traduce sus reglas basadas en zonas a las reglas de nivel inferior de iptables.

Para listar las reglas actuales de iptables, utilizaremos el comando iptables con la opción -L. Dado que ver las reglas del firewall requiere privilegios de administrador, necesitaremos usar sudo.

Escriba el siguiente comando y presione Enter:

sudo iptables -L

Verá una gran cantidad de salida. Esta salida muestra las diferentes cadenas (chains) de iptables (como INPUT, FORWARD, OUTPUT) y las reglas dentro de ellas. firewalld crea sus propias cadenas, a menudo con el prefijo FWD, IN_, OUT_, etc., para gestionar el tráfico en función de las zonas y los servicios.

A continuación, se muestra un fragmento de lo que podría ver (la salida exacta variará):

Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere
INPUT_direct  all  --  anywhere             anywhere
INPUT_ZONES_SOURCE  all  --  anywhere             anywhere
INPUT_ZONES  all  --  anywhere             anywhere
...
Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
...
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
...
Chain INPUT_ZONES (1 references)
target     prot opt source               destination
FWD_public  all  --  anywhere             anywhere             [goto] /* zone public */
...

No se preocupe por entender cada línea de esta salida en este momento. Lo más importante es que firewalld está gestionando activamente estas reglas de iptables detrás de escena. El comando iptables -L le permite ver las reglas de filtrado de paquetes reales que el kernel está aplicando.

Este paso concluye nuestra breve introducción a firewalld y su relación con iptables. Ha aprendido cómo verificar las zonas activas, encontrar los archivos de configuración e inspeccionar las reglas subyacentes de iptables.

Haga clic en Continuar para finalizar el laboratorio.

Resumen

En este laboratorio, comenzamos a explorar firewalld para verificar las zonas activas del firewall de red en Linux. Aprendimos que firewalld utiliza zonas para gestionar las reglas del firewall y que el comando firewall-cmd --get-active-zones se utiliza para identificar qué zonas están actualmente activas y asociadas con las interfaces de red. Vimos un ejemplo en el que la zona public estaba activa en la interfaz eth0.

Luego comenzamos a examinar los archivos de configuración de firewalld, observando que el directorio principal de configuración es /etc/firewalld. Intentamos ver el contenido del directorio, entendiendo que cat se utiliza para archivos, no para directorios, y que listar el contenido del directorio es el método adecuado para ver los archivos de configuración de las zonas, servicios y otros elementos.