porta firewalld ainda aberta após a remoção de porta e serviços

Question

Eu criei um script para instalar e configurar o firewalld no Centos 7.

A maioria das regras funcionou corretamente, mas a porta SSH ainda é exibida como Aberta ao executar uma varredura nmap. Eu sei que isso não é um grande problema e que a mudança de portas é apenas segurança pela obscuridade, mas gostaria de saber o porquê.

firewall-cmd --zone=dmz --add-masquerade --permanent

firewall-cmd --zone=dmz --add-interface=eth0

firewall-cmd --zone=internal --add-port=${MONGO}/tcp --permanent

firewall-cmd --zone=internal --add-port=${CHAT}/tcp --permanent

firewall-cmd --zone=internal --add-port=${NFS_CLIENT}/tcp --permanent

firewall-cmd --zone=internal --add-port=${NODE_EX}/tcp --permanent

firewall-cmd --zone=dmz --add-forward-   port=port=${22}:proto=tcp:toport=${22123} --permanent

firewall-cmd --zone=dmz --add-port=${RSSH}/tcp --permanent --permanent



Starting Nmap 7.40 ( https://nmap.org ) at 2017-10-04 17:33 BST
Nmap scan report for 
Host is up (0.45s latency).
Not shown: 997 filtered ports
PORT     STATE  SERVICE
22/tcp   open   ssh
8083/tcp open   us-srv
8086/tcp closed d-s-n


sudo firewall-cmd --list-all
dmz (active)
target: default
icmp-block-inversion: no
interfaces: eth0 eth1
sources: 
services: 
ports: 22123/tcp 8086/tcp 8083/tcp
protocols: 
masquerade: yes
forward-ports: port=22:proto=tcp:toport=22123:toaddr=
source-ports: 
icmp-blocks: 
rich rules: 

Todas as ideias são bem-vindas. Obrigado

    

Answer 1

Você ainda precisa remover as portas que está encaminhando, no entanto, encaminhar uma porta, não a fecha. Experimente este código:

sudo firewall-cmd --permanent --remove-port=22/tcp
firewall-cmd --reload

Quando você chamar sudo firewall-cmd --list-all , ele não mostrará mais a porta que você removeu nas portas listadas e o encaminhamento continuará funcionando. Infelizmente, a porta ainda será mostrada como aberta para nmap . Eu não acho que é possível evitar isso, sem remover o encaminhamento de porta. Se eu encontrar uma solução, atualizarei minha resposta.