firewalld:如果我更改ssh服务端口，允许新端口号足够吗?还是应该添加一个新服务？

Question

我将ssh端口更改为任意数字，并注意到firewalld不再允许ssh登录。我假设端口22是在firewalld的ssh服务定义中硬编码的。如果我允许TCP流量的新端口，还是应该为自定义ssh端口定义一个新服务，这就足够了吗？

Answer 1

我假设端口22是在firewalld的ssh服务定义中硬编码的。

在我的CentOS/Fedora系统上，默认的服务定义存储在/usr/lib/firewalld/services中的xml文件中。文件名是服务的名称。它们被存储在/etc/firewalld/services中的系统配置覆盖。

要更改ssh端口，可以将/usr/lib/firewalld/services/ssh.xml复制到/etc/firewalld/services/ssh.xml并为此目的对其进行修改。

然后，您需要重新加载配置。

firewall-cmd --reload

现在，您的系统应该允许在新端口上进行ssh连接。

当然，我会在端口号上使用一个服务名称，因为这样可以更清楚地了解正在发生的事情。不管是创建新服务还是覆盖现有服务，我都不想说。搞清楚到底是怎么回事并不难。

Answer 2

在更改CentOS 7中的端口后，我遇到了这个问题。问题在于SElinux --您需要为新端口添加一个上下文，或者，如果不使用SElinux，则禁用它。另外，您不需要添加新服务-只需白名单新端口就可以了。