CentOS 7からデフォルトのFirewalldでハマった(iptablesは今後使わない？)

CentOS 7ではiptablesを使わない？

CentOS 7をインストール後にnginxをインストールしても、外部からhttp://xxxx/としても表示されませんでした。
この種の問題はiptablesのせいだと確信して、サーバーで以下のコマンドを実行しました。

案の定、sshしかポートが空いていません。

しかし、よくよく調べてみたら、iptablesのサービスそのものは停止しているようです。

おかしい。なんで、iptablesのサービスは止まっているのにiptablesそのものは動作しているように見えるのだろう。

CentOS 7からiptablesに代わり登場したFirewalld

調べたところ、CentOS 7ではiptablesに代わり、Firewalldという概念が登場したようです。
詳しくは、Firewalldはiptablesの代替というよりも、iptablesをバックエンドにゾーン(zone)という概念を入れて、フロントエンドで動く仕組みのようなものでしょうか。
そして、Firewalldの設定の方が、iptablesの設定よりも優先されるようです。
例えば、/etc/sysconfig/iptablesを書き換えて、
# systemctl restart iptables.service
としてみると、その時は、/etc/sysconfig/iptablesの設定を読み込んでくれます。
ただ、システムを再起動すると/etc/sysconfig/iptablesの設定を読み込んでくれません。
混乱するので、今後はCentOSのデフォルトの設定どおり、Firewalldをサービスとして起動させて、iptablesの方はサービスとしては停止させたままにしておきます。

Firewalldのよく使うコマンド

Firewalldで取り急ぎ覚えておくべきコマンドは以下の通りです。
# systemctl start firewalld   firewalldを起動
# systemctl stop firewalld    firewalldを停止
# systemctl enable firewalld    firewalldをサービスに登録
# systemctl disable firewalld    firewalldをサービスから解除
# firewall-cmd --list-all-zones   すべてのゾーンをリスト
# firewall-cmd --state    firewalldの状態を表示
# firewall-cmd --get-zones    ゾーンを取得
# firewall-cmd --list-all    現在ののゾーンを表示

現在、publicがデフォルトの設定であるとわかります。

Firewalldの設定ファイル

Firewalldの設定ファイルは、/etc/firewalld/zonesにゾーンごとにxml形式で保存します。
既存の/etc/firewalld/zones/public.xmlを修正して、<service name=”http”/>を追加します。

この後、# systemctl restart firewalldを実行するか、またはシステムを再起動したら、無事にhttp://xxxx/で接続できました。