# firewalld 설치 (CentOS/RHEL/Rocky)
sudo dnf install -y firewalld

# firewalld 시작 및 자동 시작 설정
sudo systemctl start firewalld
sudo systemctl enable firewalld

# 현재 방화벽 상태 전체 확인
sudo firewall-cmd --state
sudo firewall-cmd --list-all

# 활성화된 Zone 확인
sudo firewall-cmd --get-active-zones

# 모든 Zone 목록 확인
sudo firewall-cmd --get-zones

running

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources:
  services: cockpit dhcpv6-client ssh
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

# HTTP(80) 허용
sudo firewall-cmd --zone=public --add-service=http --permanent

# HTTPS(443) 허용
sudo firewall-cmd --zone=public --add-service=https --permanent

# SSH(22) 허용 확인 (기본 포함됨)
sudo firewall-cmd --zone=public --list-services

# 사용자 정의 포트 허용 (예: 8080/TCP)
sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent

# 포트 범위 허용 (예: 8000-8100/TCP)
sudo firewall-cmd --zone=public --add-port=8000-8100/tcp --permanent

# 설정 적용 (--permanent 옵션 후 반드시 필요)
sudo firewall-cmd --reload

# 적용 확인
sudo firewall-cmd --zone=public --list-all

# 특정 IP에서 SSH만 허용 (관리자 IP만 SSH 접속 허용)
sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="203.0.113.10/32"
  service name="ssh"
  accept' --permanent

# 내부 네트워크(192.168.1.0/24)에서 MySQL(3306) 허용
sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="192.168.1.0/24"
  port port="3306" protocol="tcp"
  accept' --permanent

# 특정 IP 차단 (블랙리스트)
sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="10.0.0.5/32"
  reject' --permanent

# 연결 시도를 로그로 기록하면서 차단
sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="10.0.0.0/8"
  port port="3306" protocol="tcp"
  log prefix="DB_ACCESS_ATTEMPT " level="warning"
  reject' --permanent

sudo firewall-cmd --reload

# Rich Rule 목록 확인
sudo firewall-cmd --zone=public --list-rich-rules

# 현재 public Zone의 불필요한 서비스 제거
# cockpit(웹 콘솔)과 dhcpv6-client 제거
sudo firewall-cmd --zone=public --remove-service=cockpit --permanent
sudo firewall-cmd --zone=public --remove-service=dhcpv6-client --permanent

# 필요한 서비스만 명시적 허용
# 1. 관리자 IP에서만 SSH 허용 (기본 SSH 서비스 제거 후 Rich Rule로 교체)
sudo firewall-cmd --zone=public --remove-service=ssh --permanent

sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="YOUR_ADMIN_IP/32"
  service name="ssh"
  accept' --permanent

# 2. 웹 서비스 허용
sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --zone=public --add-service=https --permanent

# 3. 기본 정책 확인 (default는 REJECT)
sudo firewall-cmd --zone=public --get-target

# 적용
sudo firewall-cmd --reload

# 최종 확인
sudo firewall-cmd --zone=public --list-all

#!/bin/bash
# app-server-firewall.sh
# 애플리케이션 서버 방화벽 정책 설정 스크립트

# 변수 정의
ADMIN_IP="203.0.113.10"     # 관리자 IP
WEB_SERVER_IP="10.0.1.10"   # 웹 서버 (프론트엔드)
DB_SERVER_IP="10.0.1.20"    # DB 서버

# 1. 기본 불필요 서비스 제거
firewall-cmd --zone=public --remove-service=cockpit --permanent
firewall-cmd --zone=public --remove-service=dhcpv6-client --permanent
firewall-cmd --zone=public --remove-service=ssh --permanent

# 2. 관리자만 SSH 허용
firewall-cmd --zone=public --add-rich-rule="
  rule family=ipv4
  source address=${ADMIN_IP}/32
  service name=ssh
  accept" --permanent

# 3. 웹 서버에서 앱 포트(8080) 허용
firewall-cmd --zone=public --add-rich-rule="
  rule family=ipv4
  source address=${WEB_SERVER_IP}/32
  port port=8080 protocol=tcp
  accept" --permanent

# 4. 앱 서버 → DB 서버 아웃바운드 허용 (나머지 아웃바운드는 제한)
firewall-cmd --zone=public --add-rich-rule="
  rule family=ipv4
  destination address=${DB_SERVER_IP}/32
  port port=5432 protocol=tcp
  accept" --permanent

# 5. ICMP (ping) - 네트워크 진단용으로 내부에서만 허용
firewall-cmd --zone=public --add-rich-rule="
  rule family=ipv4
  source address=10.0.0.0/8
  icmp-type name=echo-request
  accept" --permanent

# 6. 그 외 모든 트래픽 차단 (기본 target: default = REJECT)
firewall-cmd --zone=public --set-target=default --permanent

firewall-cmd --reload

# 최종 정책 확인
echo "=== 최종 방화벽 정책 ==="
firewall-cmd --zone=public --list-all

# 스크립트 실행
chmod +x app-server-firewall.sh
sudo ./app-server-firewall.sh

# 정책 검증
# 1. 외부에서 SSH 시도 → 거부 확인
# 2. 관리자 IP에서 SSH 접속 → 성공 확인
# 3. 웹 서버에서 8080 포트 접속 → 성공 확인
# 4. 다른 IP에서 8080 포트 접속 → 거부 확인

# 방화벽 드롭 패킷 로그 활성화
sudo firewall-cmd --zone=public --add-rich-rule='
  rule family="ipv4"
  source address="0.0.0.0/0"
  log prefix="FIREWALL_DROP " level="info" limit value="5/m"
  drop' --permanent

# 로그 실시간 모니터링
sudo journalctl -f | grep FIREWALL_DROP

# 또는 커널 로그에서 확인
sudo dmesg | grep FIREWALL_DROP

# nftables 규칙 전체 확인 (firewalld 백엔드)
sudo nft list ruleset

# 규칙 통계 (패킷/바이트 카운트)
sudo nft list ruleset | grep -E "packets|bytes"

# iptables 호환 모드로 현재 규칙 확인 (구버전 호환)
sudo iptables -L -n -v --line-numbers