firewalld vs iptables - quando usar qual [fechado]

Question

TL; DR Em novas instalações do servidor CentOS eu deveria estar usando o firewalld ou apenas desabilitar isso e voltar a usar o / etc / sysconfig / iptables?

firewalld e iptables servem propósitos semelhantes. Ambos fazem filtragem de pacotes - mas se eu entendi corretamente, o firewalld não libera todo o conjunto de regras toda vez que uma alteração é feita.

Eu sei muito sobre iptables, mas muito pouco sobre firewalld.

No Fedora e RHEL / CentOS - a configuração tradicional do iptables foi feita em / etc / sysconfig / iptables. Com o firewalld, sua configuração reside em / etc / firewalld / e é um conjunto de arquivos XML. O Fedora parece estar se movendo em direção ao firewalld como um substituto para essa configuração legada. Eu entendo que o firewalld usa o iptables sob o capô, mas também tem sua própria interface de linha de comando e formato de arquivo de configuração como acima - que é o que estou me referindo em termos de usar um contra o outro.

Existe uma configuração / cenário específico para o qual cada um deles é mais adequado? No caso do NetworkMangaer vs network, parece que, embora o NetworkManager possa ter sido planejado como um substituto para os scripts de rede, devido à falta de suporte de ponte de rede e algumas outras coisas, muitas pessoas simplesmente não o utilizam nas configurações do servidor. todos. Portanto, parece haver um conceito geral de "usar o NetworkManager se você estiver em uma área de trabalho / gui e rede do Linux se estiver executando um servidor". Isso é exatamente o que eu pego lendo vários posts - mas pelo menos dá um guia sobre o que é um uso viável para essas coisas - pelo menos como eles estão em seu estado atual.

Mas eu tenho feito a mesma coisa com o firewalld e apenas desativá-lo e usar o iptables. (Estou quase sempre instalando o linux em um servidor, não para uso em desktop). O firewall é um substituto efetivo do iptables e eu deveria estar usando isso em todos os novos sistemas?

    

Answer 1

Como firewalld é baseado na configuração XML, alguns podem achar que é mais fácil configurar o firewall de maneira programática. Isso pode ser alcançado por iptables da mesma forma, mas de uma maneira diferente, que não é XML. Se você já está familiarizado com a maneira como o iptables funciona, por que você migraria toda a sua configuração para firewalld ?

Se você considera seu maior conjunto de regras de iptables de firewall, com que frequência você acha que se beneficiaria do aspecto dinâmico de firewalld ? Na maioria dos casos, o desempenho de iptables nunca é o problema. Na maioria dos casos em que o desempenho de iptables é um problema, pode ser corrigido usando conjuntos de IPs de origem / destino baseados em ipset .

É um debate diferente se você deve ou não usar o NetworkManager.