CentOS7 配置防火墙规则应对漏洞扫描

1、背景

我用六台虚拟机搭建了一套 Rancher 环境，用于团队开发、测试使用，但是由于版本较老，被安全人员扫出一些漏洞，升级 Rancher 又太麻烦，而且怕万一出问题影响使用，所以只能采用防火墙白名单模式曲线救国了。

2、环境

• 主机信息：
  192.168.10.11 - 192.168.10.16 是 Rancher 集群所用六台主机 ip 地址
  192.168.10.10 是我个人主机 ip 地址，需要访问 Rancher，所以需要单独添加规则
  192.168.10.20 - 192.168.10.100 是团队开发人员的主机 ip 地址，需要访问 Rancher 上部署的服务

• 端口信息：
  Rancher 默认使用 30000 - 32767 作为 NodePod 服务对外映射的端口范围

3、防火墙配置

1. 开启防火墙服务

   systemctl start firewalld
   systemctl enable firewalld
   

2. 设置拦截规则为全部拒绝

   firewall-cmd --permanent --zone=public --set-target=DROP
   

3. 放行 30000 - 32767 范围端口

   firewall-cmd --perman