Издаване на защитната стена firewalld 2.4.0.

Формироването на новата версия на динамично управляемия межеден мрежов екран firewalld 2.4.0, реализиран като обвивка над пакетни филтри nftables и iptables. Firewalld се стартира като фонов процес, позволяващ динамична промяна на правилата за пакетни филтри чрез D-Bus, без необходимост от презареждане на правилата и без прекъсване на установените връзки. Проектът вече се използва в много дистрибуции на Linux, включително RHEL 7+, Fedora 18+ и SUSE/openSUSE 15+. Кодът на firewalld е написан на Python и се разпространява под лиценз GPLv2.

За управлението на междусетевия екран се използва утилитата firewall-cmd, която при създаване на правила се основава не на IP адреса, мрежови интерфейси и номера на портове, а на наименования на услуги (например, за отключване на достъпа до SSH трябва да изпълните „firewall-cmd —add —service=ssh“, а за затваряне на SSH — „firewall-cmd —remove —service=ssh“). За промяна на конфигурацията на междусетевия екран може да се използва и графичният интерфейс firewall-config (GTK) и аплета firewall-applet (Qt). Поддръжката за управление на междусетевия екран чрез D-BUS API firewalld е налична в проекти като NetworkManager, libvirt, podman, docker и fail2ban.

Ключови промени:

• Добавен е набор от правила "gateway", обхващащ функционалността на типичен домашен рутер (включва NAT, обработвачи на conntrack и пренасочване на трафик между зони). Примерна конфигурация на шлюз с вътрешни и външни мрежови интерфейси с помощта на набора от правила "gateway": firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
• Реализиран е флаг "disable", който може да се използва в XML настройки, в командната утилита или през DBus за деактивиране на отделни правила и набори от правила (policy set).
• Максималният размер на имената на правилата е увеличен от 17 до 128 символа.
• Добавен е сервис gitea за едноименната платформа за съвместна разработка (TCP порт 3000).
• Добавен е сервис syslog-ng за едноименната система за водене на логове (портове 514, 601 и 6514).
• Добавен е сервис proxy-http за прокси HTTP/HTTPS, тип Squid (TCP порт 3128).
• Добавен е сервис socks за прокси-сървъри с реализация на протокола SOCKS (TCP порт 1080).

Източник: opennet.ru