Byla vydána verze dynamicky řízeného firewallu firewalld 1.0, implementovaného jako wrapper nad paketovými filtry nftables a iptables. Firewalld běží jako na pozadí spuštěný proces, který umožňuje dynamicky měnit pravidla paketového filtru přes D-Bus, aniž by bylo nutné restartovat pravidla a přerušit existující spojení. Projekt je již používán v mnoha distribucích Linuxu, včetně RHEL 7+, Fedora 18+ a SUSE/openSUSE 15+. Kód firewalld je napsán v Pythonu a je distribuován pod licencí GPLv2.
Pro správu firewallu se používá nástroj firewall-cmd, který při vytváření pravidel vychází nikoli z IP adress, síťových rozhraní a čísel portů, a od názvů služeb (například pro otevření přístupu k SSH je třeba provést „firewall-cmd —add —service=ssh“, pro uzavření SSH — „firewall-cmd —remove —service=ssh“). Pro změnu konfigurace firewallu může být také použit grafický rozhraní firewall-config (GTK) a applet firewall-applet (Qt). Podpora správy firewallu přes D-BUS API firewalld je k dispozici v takových projektech, jako jsou NetworkManager, libvirt, podman, docker a fail2ban.
Významná změna čísla verze souvisí se změnami, které nejsou zpětně kompatibilní a mění chování při práci se zónami. Všechny parametry filtrování definované v zóně se nyní vztahují pouze na provoz adresovaný hostiteli, na kterém běží firewalld, pro filtrování transitního provozu je nutná konfigurace politik. Nejpozoruhodnější změny:
- Byl vyřazen backend, který umožňoval fungování nad iptables. Podpora iptables bude zachována v dohledné budoucnosti, ale tento backend se již nebude vyvíjet.
- Režim intra-zone-forwarding je nyní ve výchozím nastavení povolen a aktivován pro všechny nové zóny, což umožňuje volný pohyb paketů mezi síťovými rozhraními nebo zdroji provozu v rámci jedné zóny (public, block, trusted, internal atd.). Pro návrat k původnímu chování a zákaz přesměrování paketů uvnitř jedné zóny lze použít příkaz „firewall-cmd —permanent —zone public —remove-forward“.
- Pravidla související s překlady adres (NAT) byla přesunuta do rodiny protokolů „inet“ (dříve přidávána do rodin „ip“ a „ip6“, což vedlo k nutnosti duplicitního pravidla pro IPv4 a IPv6). Tato změna umožnila zbavit se duplicit při používání ipset — místo tří kopií záznamů ipset nyní využíváme jednu.
- Akce „default“, uvedená v parametru „—set-target“, je nyní ekvivalentní „reject“, t.j. všechny pakety, které nesplňují určitá pravidla v oblasti, budou ve výchozím nastavení blokovány. Výjimku tvoří pouze ICMP pakety, které jsou nadále povoleny. Pro vrácení starého chování pro veřejně přístupnou zónu „trusted“ lze použít pravidla: firewall-cmd —permanent —new-policy allowForward firewall-cmd —permanent —policy allowForward —set-target ACCEPT firewall-cmd —permanent —policy allowForward —add-ingress-zone public firewall-cmd —permanent —policy allowForward —add-egress-zone trusted firewall-cmd —reload
- Politiky s pozitivní prioritou se nyní provádějí přímo před provedením pravidla „—set-target catch-all“, t.j. v okamžiku, který předchází přidání finálních pravidel drop, reject nebo accept, včetně zón, ve kterých se používají „—set-target drop|reject|accept“.
- Blokace ICMP se nyní aplikuje pouze na příchozí pakety adresované aktuálnímu hostu (input) a neovlivňuje pakety přesměrovávané mezi zónami (forward).
- Byla odstraněna služba tftp-client, určená pro sledování připojení pro protokol TFTP, ale nacházející se ve nevhodném stavu pro použití.
- Byla vyhlášena za zastaralou rozhraní „direct“, které umožňuje přímo aplikovat hotová pravidla filtrování paketů. Potřeba tohoto rozhraní pominula po přidání možnosti filtrování přesměrovávaných a odchozích paketů.
- Přidán parametr CleanupModulesOnExit, který byl ve výchozím nastavení změněn na hodnotu „no“. Pomocí tohoto parametru lze řídit uvolňování modulů jádra po ukončení provozu firewalld.
- Bylo povoleno použití ipset při definování cílového systému (destination).
- Byly přidány definice služeb WireGuard, Kubernetes a netbios-ns.
- Byla implementována pravidla automatického dokončování pro zsh.
- Podpora Python 2 byla ukončena.
- Seznam závislostí byl zkrácen. Pro provoz firewalld, kromě jádra Linux, nyní vyžaduje pouze python knihovny dbus, gobject a nftables, zatímco balíčky ebtables, ipset a iptables byly zařazeny jako volitelné. Závislosti python knihoven decorator a slip byly odstraněny.
Zdroj: opennet.ru
