Давно пользуюсь iptables, но ни разу не использовал Firewalld до не давнего времени. Я включил порт 3000 TCP через firewalld с помощью следующей команды:
# firewall-cmd --zone=public --add-port=3000/tcp --permanent
Однако я не могу получить доступ к серверу через порт 3000. Из внешнего ящика:
telnet 178.62.16.244 3000
Trying 178.62.16.244...
telnet: connect to address 178.62.16.244: Connection refused
Нет проблем с маршрутизацией: у меня есть отдельное правило для перенаправления порта с порта 80 на порт 8000, которое отлично работает извне. Мое приложение тоже определенно прослушивает порт:
Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name
tcp 0 0 0.0.0.0:3000 0.0.0.0:* LISTEN 99 36797 18662/node
firewall-cmd порт, похоже, тоже не показывает - Смотри как ports пусто. Вы можете увидеть правило пересылки, о котором я упоминал ранее.
# firewall-cmd --list-all
public (default, active)
interfaces: eth0
sources:
services: dhcpv6-client ssh
ports:
masquerade: no
forward-ports: port=80:proto=tcp:toport=8000:toaddr=
icmp-blocks:
rich rules:
Однако я вижу правило в файле конфигурации XML:
# cat /etc/firewalld/zones/public.xml
<?xml version="1.0" encoding="utf-8"?>
<zone>
<short>Public</short>
<description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description>
<service name="dhcpv6-client"/>
<service name="ssh"/>
<port protocol="tcp" port="3000"/>
<forward-port to-port="8000" protocol="tcp" port="80"/>
</zone>
Что еще мне нужно сделать, чтобы разрешить доступ к моему приложению через порт 3000?
Также: правильно ли добавлять доступ через порт? Или я должен вместо этого сделать «сервис» firewalld для моего приложения?
Используя --permanent flag записывает ваши изменения в постоянную конфигурацию, но не в текущую конфигурацию. Выполните ту же команду еще раз без --permanent флаг, чтобы он вступил в силу немедленно.
Начиная с RHEL 7.1 и текущие версии Fedora, вы также можете скопировать текущую конфигурацию в постоянную конфигурацию с помощью:
firewall-cmd --runtime-to-permanent
Как ни странно, казалось, что правило только записано в файл конфигурации, а не применяется немедленно. Пришлось перезагрузить брандмауэр:
firewall-cmd --reload
После этого появилось правило:
# firewall-cmd --zone=public --list-all
public (default, active)
interfaces: eth0
sources:
services: dhcpv6-client ssh
ports: 3000/tcp
masquerade: no
forward-ports: port=80:proto=tcp:toport=8000:toaddr=
icmp-blocks:
rich rules:
Порт теперь доступен.
требуется перезагрузка, чтобы применить внесенные вами изменения