Firewalld：将源添加到多个区域，给出错误：ZONE_CONFLICT ..还有另一种方法吗？

Question

我想出了一个基于角色的设计来使用 Saltstack 来配置我的 firewalld 区域。

实际上，我更多地将区域用作逻辑组。 例如，允许某个组中的所有服务器访问Grafana/Influx服务器（用于将数据流式传输到该服务器）。

所以我有一个名为influx_group的 firewalld 区域，所有来源都会根据它们的角色自动添加到该区域。

其中一台服务器是 openvpn 服务器，它也应该添加到internal组中以供 SSH 访问。 然后是 firewall-cmd 命令给我一个错误。

firewall-cmd --add-source=1.1.1.1 --zone=internal
Error: ZONE_CONFLICT: '1.1.1.1' already bound to a zone

这可以用丰富的规则来解决吗？

更新 1

可以通过向默认区域添加丰富规则来解决最简单形式的问题：

firewall-cmd --zone=public --add-rich-rule='rule family="ipv4" source address="1.1.1.1" port port="22" protocol="tcp" accept'

但是，这不会解决客户端/服务器与服务器/客户端关系和/或组的设计概念。 由于没有通用的方法来决定定义组中的某些来源何时会发生冲突。 并且简单地根据冲突有条件地删除默认区域中的规则，完全扼杀了基于服务关系的分组的细粒度控制。

---

长话短说

我为这个基于组的设置选择能够进行完全动态配置。 它基于整个基础架构中的客户端/服务器或服务器/客户端关系。 因此，许多其他服务组合也存在冲突。

将源组合/分组到更高级别的区域违背了我对这种粒度级别的目标。 因此，将更多的端口组合到相同的区域中，冒着访问不应该访问的端口的风险。

有人对此有任何见解吗？

谢谢！

Answer 1

Interfaces .network interface cards) and sources (your machines with dedicated ip addresses) 只能绑定到一个区域。 就是这样。 这是有意义的，因为在不同级别的恶劣环境中无法找到同一组源。 此外，此设置有助于水平或水平防御。 你应该仔细阅读Understanting Linux Firewall in multizone configurations

将接口提供给可能公开的更严格的区域。 然后将信任级别的资源添加到相应的区域。 检查这些特定来源的区域中必须可用的服务和端口。

他们都会很活跃。 源区域将具有优先权。 如果源不匹配接口规则将被应用。 如果接口区域不根据区域的默认目标处理流量，它将被丢弃、拒绝等。请务必阅读链接。