Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

5.12.2. IP 세트에 대한 사용자 정의 서비스 구성

firewalld 를 시작하기 전에 IP 세트 구조를 생성하고 로드하도록 사용자 지정 서비스를 구성하려면 다음을 수행합니다.
  1. root 로 실행되는 편집기를 사용하여 다음과 같이 파일을 생성합니다. 
    ~]# vi /etc/systemd/system/ipset_name.service
[Unit]
Description=ipset_name
Before=firewalld.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/usr/local/bin/ipset_name.sh start
ExecStop=/usr/local/bin/ipset_name.sh stop

[Install]
WantedBy=basic.target
  2. firewalld 에서 IP 세트를 영구적으로 사용합니다. 
    ~]# vi /etc/firewalld/direct.xml
<?xml version="1.0" encoding="utf-8"?>
<direct>
	<rule ipv="ipv4" table="filter" chain="INPUT" priority="0">-m set --match-set <replaceable>ipset_name</replaceable> src -j DROP</rule>
</direct>
  3. 변경 사항을 활성화하려면 firewalld 재로드가 필요합니다. 
    ~]# firewall-cmd --reload
    이렇게 하면 상태 정보(TCP 세션이 종료되지 않음)가 방화벽을 다시 로드하지 않지만 다시 로드하는 동안 서비스 중단이 가능합니다.
주의
firewalld 를 통해 관리되지 않는 IP 세트는 사용하지 않는 것이 좋습니다. 이러한 IP 세트를 사용하려면 세트를 참조하려면 영구 직접 규칙이 필요하며 이러한 IP 세트를 생성하려면 사용자 지정 서비스를 추가해야 합니다. firewalld를 시작하기 전에 이 서비스를 시작해야 합니다. 그러지 않으면 firewalld 가 이러한 세트를 사용하여 직접 규칙을 추가할 수 없습니다. /etc/firewalld/direct.xml 파일을 사용하여 영구적인 직접 규칙을 추가할 수 있습니다.