Centos7 的防火墙功能完全失效[BUG]

[SkiffBoy]

联系方式

No response

1Panel 版本

v1.7.4

问题描述

防火墙列表中并未开放的端口，居然可以直接访问，这是防火墙功能失效了吗，防火墙的服务状态明明是启动的

• 防火墙端口开放情况，防火墙并没有开放访问 phpAdmin 的 9212 端口

• 从外部本机网络，测试 VPS 上的 9212 端口，是畅通的，27017 端口也是通的，都属于防火墙并未开放的端口

* 浏览器可以访问 9212 端口

• VPS 主机，进程管理界面的网络端口

• VPS 主机，Docker 管理界面的端口映射情况

重现步骤

不知道什么原因导致的，总之执行过以下操作，应该是在某个执行过程中导致的问题

1. 防火墙安装成功后，用过命令放行端口 22、80、443、8000 (1Panel端口)

firewall-cmd --zone=public --add-port=22/tcp --permanent
firewall-cmd --zone=public --add-port=8000/tcp --permanent
firewall-cmd --zone=public --add-port=80/tcp --permanent
firewall-cmd --zone=public --add-port=443/tcp --permanent

2. VPS 界面执行过手动关机（并没有强制关机选项）
3. 执行过 halt 命令（无任何参数）
4. 在面板界面，执行过防火墙放行端口，防火墙阻止端口，删除防火墙规则
5. 后续也在 VPS 界面执行过重启 VPS 主机操作

期待的正确结果

防火墙列表中并未开放的端口，无法从外部访问

No response

相关日志输出

systemctl status firewalld -l
● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
   Active: active (running) since Sun 2023-10-29 03:55:37 CST; 8h ago
     Docs: man:firewalld(1)
 Main PID: 607 (firewalld)
    Tasks: 2
   Memory: 38.0M
   CGroup: /system.slice/firewalld.service
           └─607 /usr/bin/python2 -Es /usr/sbin/firewalld --nofork --nopid

Oct 29 03:55:48 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -t filter -F DOCKER-ISOLATION-STAGE-1' failed: iptables: No chain/target/match by that name.
Oct 29 03:55:48 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -t filter -X DOCKER-ISOLATION-STAGE-1' failed: iptables: No chain/target/match by that name.
Oct 29 03:55:48 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -t filter -F DOCKER-ISOLATION-STAGE-2' failed: iptables: No chain/target/match by that name.
Oct 29 03:55:48 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -t filter -X DOCKER-ISOLATION-STAGE-2' failed: iptables: No chain/target/match by that name.
Oct 29 03:55:48 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -t filter -F DOCKER-ISOLATION' failed: iptables: No chain/target/match by that name.
Oct 29 03:55:48 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -t filter -X DOCKER-ISOLATION' failed: iptables: No chain/target/match by that name.
Oct 29 03:55:48 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -D FORWARD -i br-07d9cd524661 -o br-07d9cd524661 -j DROP' failed: iptables: Bad rule (does a matching rule exist in that chain?).
Oct 29 03:55:48 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -D FORWARD -i docker0 -o docker0 -j DROP' failed: iptables: Bad rule (does a matching rule exist in that chain?).
Oct 29 03:55:49 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -D FORWARD -i br-6e5a15b76da5 -o br-6e5a15b76da5 -j DROP' failed: iptables: Bad rule (does a matching rule exist in that chain?).
Oct 29 03:55:50 srv433366.hstgr.cloud firewalld[607]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -D FORWARD -i docker0 -o docker0 -j DROP' failed: iptables: Bad rule (does a matching rule exist in that chain?).

附加信息

[wanghe-fit2cloud]

感谢反馈。
Linux 防火墙 ufw、firewalld 目前还无法禁用 Docker 端口映射。
如果是应用商店安装的应用，可以进入 应用商店 - 已安装 页面，点击 参数 按钮进行编辑操作，来控制端口是否放开。

[zuilintan]

使用docker -p映射端口时, 会直接于iptables建立规则, 其优先级高于firewall,
故即使没有在firewall中暴露端口, 亦可在外网访问该端口,
这并不符合预期结果, 且存在安全隐患

我曾使用

nano /etc/docker/daemon.json
...
{
"iptables": false
}
...

来解决该问题, 但却衍生了docker无法访问外网的状况,

目前应是没有完美解法了

[wanghe-fit2cloud]

使用docker -p映射端口时, 会直接于iptables建立规则, 其优先级高于firewall, 故即使没有在firewall中暴露端口, 亦可在外网访问该端口, 这并不符合预期结果, 且存在安全隐患

我曾使用

nano /etc/docker/daemon.json
...
{
"iptables": false
}
...

来解决该问题, 但却衍生了docker无法访问外网的状况,

目前应该是没有完美解法了

是的，"iptables": false 确实会导致容器内无法访问外网的情况。