AlmaLinux で ssh の IP ｱﾄﾞﾚｽ制限[UNIXやLinux]
(2021-09-09 10:55:12) by shinoda

AlmaLinux 8.4 は､CentOS 8 の互換 OS だ｡
そのため､CentOS 8 と同じで､TCP Wrapper が廃止され､今までのように /etc/hosts.allow や /etc/hosts.deny で IP ｱﾄﾞﾚｽによるｱｸｾｽ制限がかけられなくなった｡ﾌｧｲｱｳｫｰﾙ(firewalld)で制限をかけることになる｡

CentOS 8 を触ったことがなかったもんで(最近設定したのも､ｻﾎﾟｰﾄのことを考えて CentOS 7 だったからなあ)､/etc/hosts.allow を編集しようと思ったらなかったので驚いた｡

まず､自宅 PC や既存ｻｰﾊﾞなど､恒常的に存在している機器はﾊﾟｰﾏﾈﾝﾄﾙｰﾙ(設定ﾌｧｲﾙに書き込まれ､再起動時にも有効となるﾙｰﾙ)を投入｡

# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="202.XXX.XXX.12" port protocol="tcp" port="22" accept"
# firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" source address="176.XXX.XXX.65" port protocol="tcp" port="22" accept"

で､元々の設定は｢誰でも大歓迎｣になっているので､その設定を削除｡

# firewall-cmd --remove-service=ssh --zone=public --permanent

これで､設定ﾌｧｲﾙ(/etc/firewalld/zones/public.xml)に書き込まれる｡
まだ､この時点では設定ﾌｧｲﾙが編集されただけなので､設定ﾌｧｲﾙを読み込み直して設定を反映させる｡

# firewall-cmd --reload

これで､202.XXX.XXX.12､176.XXX.XXX.65 の IP ｱﾄﾞﾚｽからのみ ssh 接続が可能となる｡

次に､一時的に接続を許すﾗﾝﾀｲﾑﾙｰﾙで職場の PC からの接続を許す｡(引数 permanent を付けてないだけ)

# firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="114.XXX.XXX.72" port protocol="tcp" port="22" accept"

設定ﾌｧｲﾙには書き込まれないので､reload は不要｡即設定が反映する｡

必要なくなったら､

# firewall-cmd --zone=public --remove-rich-rule="rule family="ipv4" source address="114.XXX.XXX.72" port protocol="tcp" port="22" accept"

で削除｡

旧ｻｰﾊﾞ(CentOS)では Web 経由で /etc/hosts.allow を編集する仕組みを作って､外出先から一時的に ssh 接続を許すようにしてたんだけど使えなくなっちゃったな｡
新しい仕組み作らないと･･･

ｺﾒﾝﾄ投稿
次の記事へ >
< 前の記事へ
TOPへ戻る

Powered by
MT4i 3.0.8