firewall-cmd를 사용하여 SLES 15 방화벽을 구성하는 방법

SLES 15 서버에서 서비스가 실행 중이더라도 방화벽이 새로운 수신 트래픽을 차단하면 원격 클라이언트에서 시간 초과 오류가 발생할 수 있습니다. 해결 방법은 일반적으로 활성화된 firewalld 영역을 식별하고 애플리케이션에 필요한 서비스 또는 포트만 허용하는 것입니다. 이 작업을 위한 SLES 명령줄 도구는 다음과 같습니다 firewall-cmd.

이 가이드는 2026년 10월 7일 기준 SUSE의 SLES 15 SP7 보안 및 강화 가이드와 firewalld 명령 참조를 따릅니다. 이전 서비스 팩 및 SLES 12로 업그레이드된 시스템은 상태 또는 기존 방화벽 구성이 다를 수 있습니다. 터미널 이미지는 실제 서버에서 캡처한 결과가 아닌 대표적인 예시입니다. 인터페이스 이름, 영역 및 서비스는 사용자의 호스트 값에 맞게 변경하십시오.

1. firewalld가 실행 중인지 확인하십시오.

SUSE 문서에 따르면 firewalld는 SLES 15에 기본적으로 설치 및 활성화되어 있습니다. YaST는 일반적으로 설치 후 firewalld를 시작하고 인터페이스를 기본 public영역에 추가합니다. 하지만 기본 설정이 변경되지 않았다고 가정하기보다는 시스템을 확인하는 것이 좋습니다. firewalld를 사용할 수 있는 계정으로 다음 명령을 실행하십시오 sudo.

sudo systemctl status firewalld
sudo firewall-cmd --state

서비스 관리자는 서비스가 firewalld활성화되어 있음을 보고해야 하며, 또한 firewall-cmd --state를 보고해야 합니다 running. 서비스가 설치되어 있지만 중지된 경우, 서비스를 시작하고 부팅 시 자동으로 실행되도록 설정하십시오.

sudo systemctl enable --now firewalld

해당 패키지가 누락된 경우 firewall-cmd, firewalldSUSE 저장소가 활성화되어 있고 패키지가 설치되어 있는지 확인하십시오. 관리형 서버에서 방화벽 구성 요소를 함부로 설치하거나 교체하지 마십시오.

2. 서버 인터페이스를 보호하는 영역을 찾으십시오.

Firewalld는 규칙을 영역 으로 그룹화하며 , 각 영역은 서로 다른 신뢰 수준을 나타냅니다. public일반적으로 신뢰하지 않는 네트워크에는 '신뢰할 수 없는' 영역이 사용됩니다. 한 영역에서 서비스가 허용되더라도 모든 영역에서 자동으로 허용되지는 않으므로, 잘못된 영역에 올바른 규칙이 적용되더라도 애플리케이션에 접근할 수 없게 될 수 있습니다.

sudo firewall-cmd --get-active-zones
sudo firewall-cmd --get-default-zone
sudo firewall-cmd --zone=public --list-all

활성 영역 출력을 사용하여 클라이언트 트래픽을 전달하는 인터페이스에 연결된 영역을 찾으십시오. 인터페이스 이름은 eth0, ens160, 또는 다른 이름일 수 있습니다. 특정 인터페이스 하나만 확인하려면 다음 명령을 실행하십시오.

sudo firewall-cmd --get-zone-of-interface=eth0

실제 인터페이스로 교체하십시오 eth0. 영역에 명시적으로 할당되지 않은 인터페이스는 기본 영역에서 처리됩니다. 기본 영역을 임의로 변경하지 마십시오. 기본 영역에 의존하는 인터페이스에 영향을 줄 수 있습니다. 원격 서버에서 SSH 또는 기타 관리 영역을 확인하고 방화벽 설정을 다시 로드하기 전에 해당 액세스 규칙을 확인하십시오. 콘솔 또는 대역 외 복구 경로가 있는 경우 이를 사용할 수 있도록 준비해 두십시오.

3. 명명된 서비스 또는 특정 포트를 선택하십시오.

firewalld 서비스 는 하나 이상의 포트와 프로토콜을 포함할 수 있는 명명된 정의입니다. 일반적으로 포트 번호를 외우는 것보다 이름으로 서비스를 허용하는 것이 더 쉽습니다. 사용하기 전에 설치된 서비스 목록을 확인하고 정의를 검토하십시오.

sudo firewall-cmd --get-services
sudo firewall-cmd --info-service=http

웹 서버의 경우, 미리 정의된 http서비스는 일반적으로 TCP 포트 80을 담당하며, httpsTLS 웹 트래픽을 위한 별도의 서비스가 있습니다. SLES 설명서에는 DHCP와 같은 예시를 통해 동일한 서비스 기반 방식이 나와 있습니다. 애플리케이션에 실제로 필요한 서비스를 사용하고, 확실하지 않은 경우 로컬에서 서비스 정의를 확인하십시오.

미리 정의된 서비스 중 적합한 것이 없으면 필요한 포트와 프로토콜만 열면 됩니다. 예를 들어 TCP 포트 8443에서 수신 대기하는 애플리케이션은 다음과 같이 허용할 수 있습니다 --add-port=8443/tcp. 방화벽에서 포트를 여는 것만으로는 애플리케이션이 시작되거나 네트워크에 연결되거나 보안이 강화되는 것은 아닙니다. 서비스 자체가 의도한 주소에서 수신 대기하도록 구성되어 있는지 확인하십시오.

임시 규칙을 먼저 테스트하세요.

간단한 테스트를 위해 런타임 구성에 규칙을 적용해 보세요. 런타임 변경 사항은 즉시 적용되지만, 방화벽을 다시 로드하거나 서비스를 재시작하면 영구적으로 저장하지 않는 한 손실됩니다. Firewalld는 시간 제한 규칙을 지원하므로 테스트가 자동으로 만료되도록 설정하려는 경우 유용합니다.

sudo firewall-cmd --zone=public --add-service=http --timeout=5m

일회성 포트 테스트의 경우, --add-port=8443/tcp --timeout=5m대신 를 사용하십시오 --add-service=http. 서버 인터페이스가 실제로 포함된 영역을 선택하십시오. public호스트가 다른 영역을 사용하는 경우 복사하지 마십시오.

4. 규칙을 저장하고 firewalld를 다시 로드합니다.

규칙을 영구적으로 유지하려면 해당 규칙을 영구 구성에 추가하세요. 다음 예시는 공용 영역에서 HTTP를 허용합니다.

sudo firewall-cmd --permanent --zone=public --add-service=http
sudo firewall-cmd --reload

HTTPS를 사용하려면 영구 명령을 반복하십시오 --add-service=https. 사용자 지정 애플리케이션 포트를 사용하려면 다음과 같은 명령을 사용하십시오.

sudo firewall-cmd --permanent --zone=public --add-port=8443/tcp
sudo firewall-cmd --reload

이 예제들은 먼저 영구 구성을 수정한 다음 시스템을 다시 로드하여 새 규칙이 적용되도록 합니다. 다시 로드하면 런타임 설정도 영구 구성으로 대체됩니다. 따라서 다른 곳에서 런타임에만 적용되는 변경 사항은 무시될 수 있습니다. 운영 시스템을 다시 로드하기 전에 중요한 런타임 및 영구 규칙, 특히 원격 관리 액세스 규칙을 검토하십시오.

또한 런타임 우선 워크플로도 있습니다. 런타임에서 규칙을 테스트하고 서비스가 제대로 작동하는지 확인한 다음, 동일한 규칙을 추가하고 다시 로드합니다. 다른 관리자나 소프트웨어에서 변경한 임시 변경 사항을 포함하여 현재 런타임 규칙을 모두 저장하려는 경우가 아니라면 이 단축키를 --permanent사용하지 마십시오.--runtime-to-permanent

변경 사항이 제대로 적용되었는지 어떻게 확인할 수 있나요?

활성화된 런타임 규칙과 저장된 규칙을 모두 확인하십시오. 공용 영역의 HTTP 서비스의 경우 다음 명령을 실행하십시오.

sudo firewall-cmd --zone=public --query-service=http
sudo firewall-cmd --permanent --zone=public --list-services
sudo firewall-cmd --check-config

쿼리 결과는 이어야 하며 yes, 영구 서비스 목록에는 가 포함되어야 하고 http, 구성 검사는 성공적으로 완료되어야 합니다. 포트 규칙의 경우, 해당 명령에서 --query-port=8443/tcp와 를 사용하십시오 --list-ports. 또한 서버에 연결할 수 있는 별도의 클라이언트에서 테스트하십시오. 로컬 방화벽 쿼리는 규칙이 존재하는지 확인하는 것이지, DNS, 라우팅, 상위 방화벽 또는 애플리케이션 리스너가 올바른지 확인하는 것이 아닙니다.

흔히 발생하는 문제점과 안전한 해결 방법

• 규칙은 존재하지만 연결 시간이 초과되는 경우, 클라이언트 인터페이스에 연결된 영역에 해당 규칙이 추가되었는지 확인하십시오. 그런 다음 애플리케이션이 예상 주소와 포트에서 수신 대기 중인지 확인하고 상위 네트워크 방화벽 설정을 점검하십시오.
• 해당 규칙은 새로 고침 전까지는 제대로 작동했습니다. 아마도 런타임에만 추가된 것 같습니다. 해당 규칙을 추가하고 --permanent새로 고침한 다음 두 구성을 모두 확인해 보세요.
• SSH 접속에 문제가 있을 수 있습니다. 재부팅하기 전에 활성 영역의 서비스와 영구 서비스를 확인하십시오. SSH 접속이 필요하지만 해당 서비스가 없는 경우, ssh재부팅 전에 해당 서비스를 올바른 영역에 영구적으로 추가하십시오. 두 번째 연결을 테스트하기 전까지 현재 원격 세션을 닫지 마십시오.
• 이전 SUSE 릴리스에서 마이그레이션 중입니다. SLES 15에서는 SuSEfirewall2가 firewalld로 대체되었습니다. SUSE는 기존 방화벽 프로필의 하위 호환성이 제한적일 수 있으므로 모든 이전 규칙이 변환되었다고 가정하지 말고 마이그레이션 가이드를 검토하라고 경고합니다.
• 규칙이 충돌하는 것 같습니다. firewalld는 호스트의 방화벽 규칙을 관리하도록 설계되었습니다. SUSE는 와 같은 도구를 사용하여 동일한 규칙을 별도로 수정하는 것을 권장하지 않습니다 iptables. 이렇게 하면 현재 구성이 혼동될 수 있습니다.

불필요한 영구 서비스 또는 포트를 제거하려면 일치하는 옵션과 함께 를 사용한 --remove-service다음 --remove-port시스템 --permanent을 다시 로드하고 다시 확인하십시오. 예를 들어, 공용 영역에서 HTTP를 제거하려면 를 사용한 sudo firewall-cmd --permanent --zone=public --remove-service=http다음 를 사용하십시오 sudo firewall-cmd --reload.

완료하기 전에 스스로 점검해 보세요

• firewalld실행 중이며 서버 부팅 시 시작됩니다.
• 트래픽을 수신하는 인터페이스에 대한 활성 영역을 확인했습니다.
• 해당 영역에서는 애플리케이션에 필요한 서비스 또는 포트만 허용됩니다.
• 재부팅 전후에도 원격 관리는 계속 허용됩니다.
• 해당 규칙은 런타임 및 영구 쿼리에 나타나며 구성 검사를 통과합니다.
• 다른 호스트에서 연결 테스트를 수행한 결과 애플리케이션에 접근 가능한 것으로 확인되었습니다.

릴리스별 세부 정보는 SUSE SLES 15 SP7 방화벽 가이드 , firewall-cmd 설명서 , 그리고 firewalld의 런타임 및 영구 구성 , 포트 또는 서비스 열기에 대한 참고 사항을 참조하십시오 .