OCI Oracle Linux: SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptable' ...

He notado en algunos de mis servicios con Oracle Linux en la nube un error particular en el estado del servicio del FIREWALL.

Cuando reviso el estado, el mismo me arroja una serie de mensajes incómodos de "WARNINGS" como se muestra a continuación:

[root@SRV-AUDIT yum.repos.d]# systemctl status firewalld

? firewalld.service - firewalld - dynamic firewall daemon
Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)
Active: active (running) since Tue 2022-11-01 08:16:42 CST; 4s ago
Docs: man:firewalld(1)
Main PID: 29173 (firewalld)
Tasks: 2
CGroup: /system.slice/firewalld.service
+-29173 /usr/bin/python2 -Es /usr/sbin/firewalld --nofork --nopid


Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete FORWARD --destination 192.168.122.0/24 --o...at chain?).

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete FORWARD --source 192.168.122.0/24 --in-int...at chain?).

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete FORWARD --in-interface virbr0 --out-interf...at chain?).

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete FORWARD --out-interface virbr0 --jump REJE... that name.

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete FORWARD --in-interface virbr0 --jump REJEC... that name.

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete INPUT --in-interface virbr0 --protocol udp...at chain?).

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete INPUT --in-interface virbr0 --protocol tcp...at chain?).

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete OUTPUT --out-interface virbr0 --protocol u...at chain?).

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete INPUT --in-interface virbr0 --protocol udp...at chain?).

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete INPUT --in-interface virbr0 --protocol tcp...at chain?).

Hint: Some lines were ellipsized, use -l to show in full.

Investigando un poco encontre que deshabilitando el "libvirtd" se soluciona el problema. Como pueden comprobar a continuación, una vez deshabilitado y reiniciado el servicio del FIREWALL, ya no tenemos el mensaje de precaución.

[root@SRV-AUDIT yum.repos.d]# systemctl stop libvirtd
[root@SRV-AUDIT yum.repos.d]# systemctl disable libvirtd

Removed symlink /etc/systemd/system/multi-user.target.wants/libvirtd.service.
Removed symlink /etc/systemd/system/sockets.target.wants/virtlogd.socket.
Removed symlink /etc/systemd/system/sockets.target.wants/virtlockd.socket.

[root@SRV-AUDIT yum.repos.d]# systemctl status firewalld
? firewalld.service - firewalld - dynamic firewall daemon
Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)
Active: active (running) since Tue 2022-11-01 08:16:42 CST; 2min 48s ago
Docs: man:firewalld(1)
Main PID: 29173 (firewalld)
CGroup: /system.slice/firewalld.service

+-29173 /usr/bin/python2 -Es /usr/sbin/firewalld --nofork --nopid


Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete FORWARD --destination 192.168.122.0/24 --o...at chain?).
Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete FORWARD --source 192.168.122.0/24 --in-int...at chain?).
Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete FORWARD --in-interface virbr0 --out-interf...at chain?).
Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete FORWARD --out-interface virbr0 --jump REJE... that name.
....
Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete INPUT --in-interface virbr0 --protocol udp...at chain?).

Nov 01 08:16:43 SRV-AUDIT firewalld[29173]: WARNING: COMMAND_FAILED: '/usr/sbin/iptables -w10 -w --table filter --delete INPUT --in-interface virbr0 --protocol tcp...at chain?).

Hint: Some lines were ellipsized, use -l to show in full.

[root@SRV-AUDIT yum.repos.d]# systemctl restart firewalld

[root@SRV-AUDIT yum.repos.d]# systemctl status firewalld
? firewalld.service - firewalld - dynamic firewall daemon
Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)

Active: active (running) since Tue 2022-11-01 08:20:02 CST; 4s ago
Docs: man:firewalld(1)
Main PID: 5063 (firewalld)
Tasks: 2
CGroup: /system.slice/firewalld.service
+-5063 /usr/bin/python2 -Es /usr/sbin/firewalld --nofork --nopid

Nov 01 08:20:02 SRV-AUDIT systemd[1]: Starting firewalld - dynamic firewall daemon...
Nov 01 08:20:02 SRV-AUDIT systemd[1]: Started firewalld - dynamic firewall daemon.
[root@SRV-AUDIT yum.repos.d]# systemctl status firewalld

? firewalld.service - firewalld - dynamic firewall daemon
Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)
Active: active (running) since Tue 2022-11-01 08:20:02 CST; 12s ago
Docs: man:firewalld(1)
Main PID: 5063 (firewalld)
Tasks: 2
CGroup: /system.slice/firewalld.service
+-5063 /usr/bin/python2 -Es /usr/sbin/firewalld --nofork --nopid

Nov 01 08:20:02 SRV-AUDIT systemd[1]: Starting firewalld - dynamic firewall daemon...
Nov 01 08:20:02 SRV-AUDIT systemd[1]: Started firewalld - dynamic firewall daemon.
[root@SRV-AUDIT yum.repos.d]#

El programa libvirtd es el componente daemon del lado del servidor del sistema de administración de virtualización libvirt. 

Este demonio se ejecuta en servidores host y realiza las tareas de administración requeridas para invitados virtualizados. Esto incluye actividades como iniciar, detener y migrar invitados entre servidores host, configurar y manipular redes y administrar el almacenamiento para uso de los invitados. 

Las bibliotecas y utilidades del cliente libvirt se conectan a este daemon para ejecutar tareas y recopilar información sobre la configuración y los recursos del sistema host y los invitados.

Según la documentación, el LIBVIRT Daemon, se ejecuta como un servicio SYSTEMD monolítico en Oracle Linux 7 y Oracle Linux 8.  Mientras que en Oracle Linux 9, el servicio se divide en múltiples sockets de servicios funcionales para un mayor control atómico y registro de cada componenente de virtualización.

En Oracle Linux 9

Los componentes o controladores funcionales individuales se modularizan en demonios separados que se exponen mediante tres sockets systemd para cada controlador.

Los siguientes demonios systemd están definidos para controladores individuales libvirt específicamente para KVM:

• virtqemud: es el demonio de gestión de QEMU, para ejecutar máquinas virtuales en KVM.
• virtnetworkd: es el demonio de gestión de red virtual.
• virtnodedevd: es el daemon de administración de dispositivos físicos del host.
• virtnwfilterd: es el demonio de gestión del cortafuegos del host.
• virtsecretd: es el demonio de gestión de secretos del host.
• virtstoraged: es el demonio de administración de almacenamiento del host.
• virtinterfaced: es el demonio de administración de la tarjeta de interfaz de red (NIC) del host.

Todos los demonios de virtualización deben estar ejecutándose para exponer la funcionalidad de virtualización completa disponible en libvirt.