Iptables
Fedora 25 Workstation：打開了firewalld，無法ssh進入
我最近在我的一台電腦上安裝了 Fedora 25（工作站）。這是我第一次使用 RH 風格的發行版——我以前只使用過基於 Debian 的系統，在這些系統上我使用 ufw 來配置我的防火牆。我完全無法解釋為什麼我無法讓防火牆工作。
我試圖只允許訪問以下埠進行傳入連接：22/tcp (SSH)、3306/tcp (mysql)
我將預設區域設置為公共區域並手動將我的網路介面設置為公共區域。我將 SSH 和 mysql 服務添加到公共區域，這應該會影響執行時防火牆中的更改，但沒有運氣。我的電腦拒絕所有建立 SSH 連接的嘗試。我的 ip 的 nmap 顯示以下內容：
Nmap scan report for 192.168.1.241 Host is up (0.000014s latency). Not shown: 998 closed ports PORT STATE SERVICE 111/tcp open rpcbind 3306/tcp open mysql我嘗試對執行時防火牆進行更改，並嘗試使設置永久化。兩者都沒有對開放埠產生任何變化。無論我做什麼（包括刪除 mysql 作為允許的服務），都不會改變 nmap 掃描的輸出。（是的，我在進行永久更改後重新啟動 firewalld）。
據我了解，firewalld 只是類似於 ufw 的 iptables 的包裝器，但是我從未遇到過使用 ufw 配置防火牆的問題。這讓我不知所措。感謝您提供的任何幫助。謝謝。
一些命令的輸出顯示我的設置：
$ firewall-cmd --get-default-zone public $ firewall-cmd --get-zone-of-interface=enp0s25 public $ cat /etc/firewalld/zones/public.xml <?xml version="1.0" encoding="utf-8"?> <zone> <short>Public</short> <description>For use in public areas. You do not trust the other computers on networks to not harm your computer. Only selected incoming connections are accepted.</description> <service name="ssh"/> <service name="mysql" /> </zone> $ cat /usr/lib/firewalld/services/ssh.xml <?xml version="1.0" encoding="utf-8"?> <service> <short>SSH</short> <description>Secure Shell (SSH) is a protocol for logging into and executing commands on remote machines. It provides secure encrypted communications. If you plan on accessing your machine remotely via SSH over a firewalled interface, enable this option. You need the openssh-server package installed for this option to be useful.</description> <port protocol="tcp" port="22"/> </service> $ cat /usr/lib/firewalld/services/mysql.xml <?xml version="1.0" encoding="utf-8"?> <service> <short>MySQL</short> <description>MySQL Database Server</description> <port protocol="tcp" port="3306"/> </service> $ cat /etc/sysconfig/network-scripts/ifcfg-enp0s25 HWADDR=<removed> TYPE=Ethernet BOOTPROTO=none DEFROUTE=yes BROADCAST=192.168.1.255 NETWORK=192.168.1.0 DNS1=8.8.8.8 DNS2=8.8.4.4 IPV4_FAILURE_FATAL=no IPV6INIT=yes IPV6_AUTOCONF=yes IPV6_DEFROUTE=yes IPV6_FAILURE_FATAL=no IPV6_ADDR_GEN_MODE=stable-privacy NAME=enp0s25 UUID=<removed> ONBOOT=yes AUTOCONNECT_PRIORITY=-999 ZONE=public IPADDR=192.168.1.241 PREFIX=24 GATEWAY=192.168.1.1 IPV6_PEERDNS=yes IPV6_PEERROUTES=yes $ iptables -S -P INPUT ACCEPT -P FORWARD ACCEPT -P OUTPUT ACCEPT -N FORWARD_IN_ZONES -N FORWARD_IN_ZONES_SOURCE -N FORWARD_OUT_ZONES -N FORWARD_OUT_ZONES_SOURCE -N FORWARD_direct -N FWDI_public -N FWDI_public_allow -N FWDI_public_deny -N FWDI_public_log -N FWDO_public -N FWDO_public_allow -N FWDO_public_deny -N FWDO_public_log -N INPUT_ZONES -N INPUT_ZONES_SOURCE -N INPUT_direct -N IN_public -N IN_public_allow -N IN_public_deny -N IN_public_log -N OUTPUT_direct -A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT -A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT -A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT -A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -j INPUT_direct -A INPUT -j INPUT_ZONES_SOURCE -A INPUT -j INPUT_ZONES -A INPUT -m conntrack --ctstate INVALID -j DROP -A INPUT -j REJECT --reject-with icmp-host-prohibited -A FORWARD -d 192.168.122.0/24 -o virbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A FORWARD -s 192.168.122.0/24 -i virbr0 -j ACCEPT -A FORWARD -i virbr0 -o virbr0 -j ACCEPT -A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable -A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT -A FORWARD -i lo -j ACCEPT -A FORWARD -j FORWARD_direct -A FORWARD -j FORWARD_IN_ZONES_SOURCE -A FORWARD -j FORWARD_IN_ZONES -A FORWARD -j FORWARD_OUT_ZONES_SOURCE -A FORWARD -j FORWARD_OUT_ZONES -A FORWARD -m conntrack --ctstate INVALID -j DROP -A FORWARD -j REJECT --reject-with icmp-host-prohibited -A OUTPUT -o virbr0 -p udp -m udp --dport 68 -j ACCEPT -A OUTPUT -j OUTPUT_direct -A FORWARD_IN_ZONES -i enp0s25 -g FWDI_public -A FORWARD_IN_ZONES -g FWDI_public -A FORWARD_OUT_ZONES -o enp0s25 -g FWDO_public -A FORWARD_OUT_ZONES -g FWDO_public -A FWDI_public -j FWDI_public_log -A FWDI_public -j FWDI_public_deny -A FWDI_public -j FWDI_public_allow -A FWDI_public -p icmp -j ACCEPT -A FWDO_public -j FWDO_public_log -A FWDO_public -j FWDO_public_deny -A FWDO_public -j FWDO_public_allow -A INPUT_ZONES -i enp0s25 -g IN_public -A INPUT_ZONES -g IN_public -A IN_public -j IN_public_log -A IN_public -j IN_public_deny -A IN_public -j IN_public_allow -A IN_public -p icmp -j ACCEPT -A IN_public_allow -p tcp -m tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT -A IN_public_allow -p tcp -m tcp --dport 3306 -m conntrack --ctstate NEW -j ACCEPT
您的防火牆看起來不錯，似乎沒有問題。
無法通過 ssh 進入工作站的原因是 Fedora Workstation 安裝預設禁用 ssh 守護程序。（這與 Server、Cloud 和 Atomic 形成對比，它們都啟用了 ssh。）
要解決此問題，您需要安裝並顯式啟用 ssh 守護程序。
dnf -y install openssh-server systemctl enable sshd systemctl start sshd