Udgivelsen af den dynamisk styrede firewall firewalld 2.4.0 er færdiggjort, implementeret som et lag oven på pakkefiltre som nftables og iptables. Firewalld kører som en baggrundsproces, der giver mulighed for dynamisk ændring af pakkefilterregler via D-Bus, uden behov for at genstarte pakkefilterreglerne og uden at afbryde etablerede forbindelser. Projektet anvendes allerede i mange Linux-distributioner, herunder RHEL 7+, Fedora 18+ og SUSE/openSUSE 15+. Koden for firewalld er skrevet i Python og distribueres under GPLv2-licensen.
For at administrere firewallen bruges værktøjet firewall-cmd, som ved oprettelse af regler baserer sig ikke på IP-adresser, netværksgrænseflader og portnumre, men på servicenavne (for eksempel for at åbne adgang til SSH skal man udføre «firewall-cmd —add —service=ssh», for at lukke SSH — «firewall-cmd —remove —service=ssh»). Der kan også bruges et grafisk interface firewall-config (GTK) og applet firewall-applet (Qt) til at ændre firewallens konfiguration. Support til at administrere firewallen via D-BUS API firewalld findes i projekter som NetworkManager, libvirt, podman, docker og fail2ban.
Nøgleændringer:
- Et sæt regler 'gateway' er tilføjet, der dækker funktionaliteten af en typisk hjemme-router (inkluderer NAT, conntrack-behandlere og trafikomdirigering mellem zoner). Eksempel på opsætning af gateway med interne og eksterne netværksgrænseflader ved hjælp af 'gateway' regelsættet: firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
- Flagget 'disable' er implementeret, som kan bruges i XML-konfigurationer, kommandolinjeværktøjet eller via DBus til at deaktivere enkelte regler og regelsæt (policy set).
- Den maksimale længde for reglenavne er blevet forøget fra 17 til 128 tegn.
- Gitea-tjenesten er tilføjet til den navngivne samarbejdsudviklingsplatform (TCP-port 3000).
- Syslog-ng-tjenesten er tilføjet til det navngivne loggingsystem (porte 514, 601 og 6514).
- HTTP/HTTPS proxy-tjenesten er tilføjet for proxies, type Squid (TCP-port 3128).
- Socks-tjenesten er tilføjet til proxy-servere med implementering af SOCKS-protokollen (TCP-port 1080).
Kilde: opennet.ru
