Byla vydána verze dynamicky řízeného firewallu firewalld 2.4.0, realizovaného jako wrapper nad paketovými filtry nftables a iptables. Firewalld běží jako proces na pozadí, který umožňuje dynamicky měnit pravidla paketového filtru prostřednictvím D-Bus, aniž by bylo potřeba restartovat pravidla paketového filtru a bez přerušení zavedených připojení. Projekt je již používán v mnoha distribucích Linuxu, včetně RHEL 7+, Fedora 18+ a SUSE/openSUSE 15+. Kód firewalld je napsán v Pythonu a je distribuován pod licencí GPLv2.
Pro správu firewallu se používá nástroj firewall-cmd, který při vytváření pravidel vychází nikoli z IP adress, síťových rozhraní a čísel portů, ale z názvů služeb (například pro otevření přístupu k SSH je potřeba provést „firewall-cmd —add —service=ssh“, pro uzavření SSH — „firewall-cmd —remove —service=ssh“). Pro změnu konfigurace firewallu lze také použít grafické rozhraní firewall-config (GTK) a applet firewall-applet (Qt). Podpora správy firewallu prostřednictvím D-BUS API firewalld je dostupná v projektech jako NetworkManager, libvirt, podman, docker a fail2ban.
Klíčové změny:
- Byla přidána sada pravidel „gateway“, pokrývající funkčnost typového domácího routeru (zahrnuje NAT, conntrack-handlery a přesměrování provozu mezi zónami). Příklad nastavení brány s vnitřními a vnějšími síťovými rozhraními pomocí sady pravidel „gateway“: firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
- Byla zavedena značka „disable“, kterou je možné používat v XML nastaveních, v příkazovém nástroji nebo prostřednictvím DBus pro deaktivaci jednotlivých pravidel a sad pravidel (policy set).
- Maximální délka názvů pravidel byla zvýšena z 17 na 128 znaků.
- Byla přidána služba gitea pro stejnojmennou platformu spolupráce (TCP port 3000).
- Byla přidána služba syslog-ng pro stejnojmenný systém pro správu logů (porty 514, 601 a 6514).
- Byla přidána služba proxy-http pro HTTP/HTTPS proxy, typu Squid (TCP port 3128).
- Byla přidána služba socks pro proxy-servery s implementací protokolu SOCKS (TCP port 1080).
Zdroj: opennet.ru
