Dwie zapory na jednym serwerze - jak usunąć jedną bez „blokowania”?


Używam CentOS 7 VPS, który kupiłem wstępnie skonfigurowany z zainstalowanym iptables, ale na początku tego nie testowałem. Wiem, że CentOS 7 „musi” być chroniony zaporą ogniową, więc zainstalowałem firewalld i nie wystąpiły żadne błędy.
Później, gdy próbowałem uruchomić demona za pośrednictwem
       systemctl start firewalld
, wkrótce potem program zawiesił się bez żadnych błędów.
Pobiegłem
       systemctl status firewalld
aby upewnić się, że zapora działa i otrzymała następujący wynik:
Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
Active: inactive (dead) since Tue 2019-11-19 08:35:39 EST; 1min 35s ago
Docs: man:firewalld(1)
Process: 27356 ExecStart=/usr/sbin/firewalld --nofork --nopid $FIREWALLD_ARGS (code=exited, status=0/SUCCESS)
Main PID: 27356 (code=exited, status=0/SUCCESS)Nov 19 08:35:37 vps.blabla.com systemd[1]: Starting firewalld - dynamic ....
Nov 19 08:35:38 vps.blabla.com systemd[1]: Started firewalld - dynamic f....
Nov 19 08:35:39 vps.blabla.com firewalld[27356]: WARNING: ipset not usabl...
Nov 19 08:35:39 vps.blabla.com firewalld[27356]: ERROR: Failed to load nf...
modprobe: ERROR: could n...
modprobe: ERROR: Error r...
Nov 19 08:35:39 vps.blabla.com firewalld[27356]: ERROR: Raising SystemExi...
Hint: Some lines were ellipsized, use -l to show in full.

Zagłębiłem się głębiej w to użycie
       systemctl status firewalld -l
i otrzymałem:
* firewalld.service - firewalld - dynamic firewall daemon
Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
Active: inactive (dead) since Tue 2019-11-19 08:35:39 EST; 13min ago
Docs: man:firewalld(1)
Process: 27356 ExecStart=/usr/sbin/firewalld --nofork --nopid $FIREWALLD_ARGS (code=exited, status=0/SUCCESS)
Main PID: 27356 (code=exited, status=0/SUCCESS)Nov 19 08:35:37 vps.blabla.com systemd[1]: Starting firewalld - dynamic firewall daemon...
Nov 19 08:35:38 vps.blabla.com systemd[1]: Started firewalld - dynamic firewall daemon.
Nov 19 08:35:39 vps.blabla.com firewalld[27356]: WARNING: ipset not usable, disabling ipset usage in firewall.
Nov 19 08:35:39 vps.blabla.com firewalld[27356]: ERROR: Failed to load nf_conntrack module: modprobe: ERROR: could not find module by name='nf_conntrack'
modprobe: ERROR: could not insert 'nf_conntrack': Function not implemented
modprobe: ERROR: Error running install command for nf_conntrack
modprobe: ERROR: could not insert 'nf_conntrack': Operation not permitted
Nov 19 08:35:39 vps.blabla.com firewalld[27356]: ERROR: Raising SystemExit in run_server

Potem zacząłem kopać głębiej i odkryłem, że mam już zainstalowane i skonfigurowane iptables na moim serwerze z kilkoma otwartymi portami i nie tylko. Domyślam się, że błąd jest spowodowany tym, że mam już uruchomioną jedną zaporę ogniową. Moje badania wykazały, że ludzie twierdzą, że te dwie zapory na tym samym serwerze mogą powodować konflikty.

[b]
Ten problem:

[/b]>
1) Czy jeśli usunę firewalld (który wielu w Internecie wskazało, że jest nowszy i przyszły), czy spowoduje to „zablokowanie” mnie?

2) Jeśli chcę usunąć iptables i używać firewalld, czy jest w ogóle możliwe osiągnięcie takiej samej konfiguracji jak w iptables bez "blokowania"?

Uwaga:

Jedyny dostęp do serwera, który obecnie mam, to SSH i jestem użytkownikiem root.
Wielkie dzięki
Zaproszony:
Anonimowy użytkownik

Anonimowy użytkownik

Potwierdzenie od:

Nie masz uruchomionych 2 zapór. firewalld to narzędzie do zarządzania, które opiera się na prawdziwym systemie filtrującym, wykonującym ciężką pracę polegającą na dopuszczaniu/blokowaniu ruchu. Zwykle jest to iptables, ale wiele dystrybucji przechodzi na nftables zamiast iptables.
CentOS 7 nadal używa iptables jako zaplecza dla firewalld. Te błędy są spowodowane tym, że firewalld próbuje zainicjować system iptables, jednak nie może załadować (niektórych) wymaganych modułów jądra.
Być może zaktualizowałeś jądro bez ponownego uruchamiania? Lub nie jest to prawdziwy VPS, ale kontener VPS (taki jak OpenVZ), w którym nie masz dostępu do ładowania/wyładowywania modułów jądra.

Aby odpowiedzieć na pytania, Zaloguj się lub Zarejestruj się