Introdução
Neste laboratório, você explorará o Firewalld, uma ferramenta moderna de gerenciamento de firewall disponível em muitas distribuições Linux.
Um firewall controla qual tráfego de rede pode entrar ou sair de um sistema. Para iniciantes, as regras tradicionais de filtragem de pacotes podem parecer rígidas. O Firewalld adiciona um modelo de gerenciamento de nível mais alto, permitindo que administradores ajustem as políticas de forma mais segura e dinâmica.
O conceito central do Firewalld são as zonas. As zonas permitem aplicar diferentes níveis de confiança a diferentes interfaces ou conexões de rede.
- Zona Home: é como a sua sala de estar. Você confia nas pessoas (dispositivos) desse ambiente, então a porta fica quase sempre aberta.
- Zona Public: é como uma cafeteria. Você não confia nas outras pessoas (dispositivos) ao seu redor, então mantém as portas trancadas e permite apenas interações muito específicas.
O Firewalld permite atribuir diferentes conexões de rede (interfaces) a essas zonas.
Ao final deste laboratório, você saberá:
- Instalar e iniciar o serviço do Firewalld com segurança.
- Identificar quais "Zonas" de segurança estão ativas.
- Examinar as regras dentro de uma zona.
- Mover uma interface de rede de uma zona para outra.
Instalar e iniciar o Firewalld
Nesta etapa, você instalará o software Firewalld e verificará se ele está em execução.
Etapa crítica de segurança: neste ambiente de laboratório remoto, sua conexão com o terminal depende de a rede estar aberta. Se iniciarmos o firewall com as configurações padrão, geralmente Public ou Drop, ele poderá bloquear sua conexão e impedir imediatamente o seu acesso. Para evitar isso, configuraremos explicitamente o Firewalld para usar a zona Trusted na nossa conexão.
Esta é uma lição operacional importante: trabalhar com firewalls reduz a superfície de ataque, mas também pode interromper seu próprio acesso se você alterar a política sem cuidado. Bons administradores avaliam a recuperação e os caminhos de acesso atuais antes de modificar os controles de rede.
Primeiro, instale o pacote.
sudo apt-get update
sudo systemctl mask firewalld
sudo apt-get install firewalld -y
O mascaramento impede que a instalação do pacote inicie automaticamente o firewalld. Antes de iniciar o serviço, configure a zona padrão trusted e vincule eth0 a ela com firewall-offline-cmd. Esse cliente funciona enquanto o firewalld está parado. Remova o mascaramento do serviço somente depois de salvar essas configurações permanentes de gerenciamento.
sudo firewall-offline-cmd --set-default-zone=trusted
sudo firewall-offline-cmd --zone=trusted --add-interface=eth0
sudo systemctl unmask firewalld
sudo systemctl start firewalld
sudo firewall-cmd --reload
Ative o serviço para que ele seja iniciado automaticamente durante a inicialização do sistema.
sudo systemctl enable firewalld
Por fim, verifique se o Firewalld está em execução.
sudo firewall-cmd --state
Você deverá ver a saída running.
Verificar as zonas ativas
Nesta etapa, agora que o Firewalld está em execução, vamos examinar as Zonas.
As zonas são a principal camada de abstração do Firewalld. Em vez de memorizar uma lista extensa e simples de regras de pacotes, você agrupa as interfaces por nível de confiança e deixa que a zona expresse a política básica desse ambiente.
Para ver quais zonas estão sendo usadas no momento, execute o comando a seguir.
sudo firewall-cmd --get-active-zones
Como configuramos isso na etapa anterior, você deverá ver:
trusted
interfaces: eth0
Isso indica que:
- A zona trusted está ativa.
- A interface de rede eth0 (sua conexão principal) está com segurança dentro dessa zona.
Se quiser saber quais outras zonas existem, você poderá listar todas as zonas disponíveis.
sudo firewall-cmd --get-zones
Esse comando exibirá nomes como block, home, work, public e outros.
Listar a configuração de uma zona
Nesta etapa, você examinará as regras detalhadas da zona ativa.
É aqui que o Firewalld começa a ficar mais concreto. Uma zona não é apenas um rótulo como public ou trusted; ela reúne decisões reais de política, como o destino padrão, os serviços permitidos, as portas e o comportamento de encaminhamento.
Use a opção --list-all para ver a configuração completa da zona padrão atual (trusted).
sudo firewall-cmd --list-all
A saída exibirá a configuração. Para a zona trusted, o campo principal é:
- target:
ACCEPT. Isso significa "Aceitar tudo."
Isso confirma por que sua conexão está segura.
Se quiser consultar as regras de outra zona, como a zona public, especifique o nome da zona.
sudo firewall-cmd --zone=public --list-all
Você verá que a zona public é muito mais restritiva.
Alterar a zona de uma interface
Nesta etapa, vamos praticar como mover uma interface para outra zona.
Alterar a zona de uma interface significa, na prática, mudar a classificação de confiança do tráfego que chega por essa interface. Assim, o mesmo host pode se comportar de maneira diferente em redes distintas sem que seja necessário reescrever todas as regras do zero.
Aviso: se movermos nossa interface principal eth0 para a zona work, seremos desconectados imediatamente, porque a zona work bloqueia a conexão do nosso terminal web!
Para praticar com segurança, criaremos uma interface de rede "dummy" (virtual) e a usaremos no experimento.
Primeiro, crie uma interface dummy chamada dummy0.
sudo ip link add dummy0 type dummy
sudo ip link set dummy0 up
Adicione inicialmente essa interface à zona public (apenas para atribuir uma zona a ela).
sudo firewall-cmd --zone=public --add-interface=dummy0
Agora imagine que dummy0 seja a placa Wi-Fi do seu laptop e que você acabou de chegar ao seu escritório. Você deseja movê-la para a zona work.
sudo firewall-cmd --zone=work --change-interface=dummy0
Verifique a alteração.
sudo firewall-cmd --get-active-zones
Agora você deverá ver duas zonas ativas:
- trusted: contém
eth0, mantendo sua conexão. - work: contém
dummy0, sua interface de teste.
trusted
interfaces: eth0
work
interfaces: dummy0
Você aprendeu com sucesso a alterar zonas sem perder o acesso!
Resumo
Neste laboratório, você deu os primeiros passos com o Firewalld. Você:
- Instalou o serviço e o configurou com segurança para evitar a perda de acesso.
- Aprendeu que as Zonas funcionam como perfis de segurança.
- Inspecionou as regras dentro de uma zona.
- Criou uma interface virtual e praticou como alterná-la entre zonas.
Entender as zonas é a base do Firewalld. Nos próximos laboratórios, você aprenderá a personalizar essas zonas abrindo portas específicas.
