Veröffentlichung von firewalld 1.0

Die Veröffentlichung von firewalld 1.0, einem dynamisch verwalteten Firewall-System, wurde vorgestellt. Es handelt sich dabei um eine Wrapper-Lösung über den Paketfiltern nftables und iptables. Firewalld läuft als Hintergrundprozess und ermöglicht dynamische Änderungen der Paketfilterregeln über D-Bus, ohne dass die Regeln neu geladen oder bestehende Verbindungen unterbrochen werden müssen. Das Projekt wird bereits in vielen Linux-Distributionen eingesetzt, darunter RHEL 7+, Fedora 18+ und SUSE/openSUSE 15+. Der Code von firewalld ist in Python geschrieben und wird unter der GPLv2-Lizenz veröffentlicht.

Zur Verwaltung der Firewall wird das Tool firewall-cmd verwendet, das beim Erstellen von Regeln nicht von IP-Adressen, Netzwerkinterfaces und Portnummern, sondern von Dienstnamen (zum Beispiel wird der Zugriff auf SSH mit „firewall-cmd —add —service=ssh“ eröffnet, und um SSH zu schließen, mit „firewall-cmd —remove —service=ssh“). Für die Anpassung der Firewall-Konfiguration kann auch die grafische Benutzeroberfläche firewall-config (GTK) und das Applet firewall-applet (Qt) genutzt werden. Die Unterstützung für die Verwaltung der Firewall über die D-BUS-API von firewalld ist in Projekten wie NetworkManager, libvirt, podman, docker und fail2ban vorhanden.

Die signifikante Änderung der Versionsnummer ist auf Anpassungen zurückzuführen, die die Abwärtskompatibilität beeinträchtigen und das Verhalten beim Umgang mit Zonen ändern. Alle in der Zone definierten Filterparameter gelten jetzt nur für den Verkehr, der an den Host gerichtet ist, auf dem firewalld läuft, während für die Filterung von Transitverkehr eine Anpassung der Richtlinien erforderlich ist. Die auffälligsten Änderungen sind:

• Der Backend, der die Nutzung von iptables ermöglichte, wurde als veraltet erklärt. Die Unterstützung für iptables wird in naher Zukunft erhalten bleiben, die Entwicklung dieses Backends wird jedoch nicht fortgesetzt.
• Intra-Zone-Forwarding ist standardmäßig für alle neuen Zonen aktiviert und ermöglicht die ungehinderte Bewegung von Paketen zwischen Netzwerkinterfaces oder Traffic-Quellen innerhalb einer Zone (öffentliche, blockierte, vertrauenswürdige, interne usw.). Um das alte Verhalten wiederherzustellen und das Weiterleiten von Paketen innerhalb einer Zone zu verbieten, kann der Befehl „firewall-cmd —permanent —zone public —remove-forward“ verwendet werden.
• Die Regeln für die Adressübersetzung (NAT) wurden in die Protokollfamilie „inet“ verschoben (früher wurden sie in den Familien „ip“ und „ip6“ hinzugefügt, was die Notwendigkeit zur Duplizierung von Regeln für IPv4 und IPv6 zur Folge hatte). Diese Änderung ermöglicht es, Duplikate beim Einsatz von ipset zu vermeiden – anstelle von drei Kopien der ipset-Einträge wird nun nur eine verwendet.
• Die Aktion „default“, die im Parameter „—set-target“ angegeben wird, ist jetzt gleichbedeutend mit „reject“, d.h. alle Pakete, die nicht unter bestimmte Regeln in der Zone fallen, werden standardmäßig blockiert. Eine Ausnahme gilt nur für ICMP-Pakete, die weiterhin durchgelassen werden. Um das alte Verhalten für die öffentlich zugängliche Zone „trusted“ wiederherzustellen, können folgende Regeln verwendet werden: firewall-cmd —permanent —new-policy allowForward firewall-cmd —permanent —policy allowForward —set-target ACCEPT firewall-cmd —permanent —policy allowForward —add-ingress-zone public firewall-cmd —permanent —policy allowForward —add-egress-zone trusted firewall-cmd —reload
• Politiken mit positivem Prioritätswert werden jetzt unmittelbar vor der Ausführung der Regel „—set-target catch-all“ ausgeführt, d.h. in dem Moment, der dem Hinzufügen der endgültigen Regeln drop, reject oder accept vorausgeht, einschließlich für Zonen, in denen „—set-target drop|reject|accept“ verwendet wird.
• Die Blockierung von ICMP gilt nun nur für eingehende Pakete (input), die an den aktuellen Host adressiert sind, und betrifft nicht die zwischen den Zonen weitergeleiteten Pakete (forward).
• Der Dienst tftp-client wurde entfernt, der zur Überwachung von Verbindungen für das TFTP-Protokoll gedacht war, jedoch in einem unbrauchbaren Zustand war.
• Die veraltete Schnittstelle „direct“, die das direkte Einfügen von fertigen Regeln zur Paketfilterung ermöglicht, wurde als obsolet erklärt. Die Notwendigkeit dieser Schnittstelle ist weggefallen, nachdem die Möglichkeit zur Filterung von weitergeleiteten und ausgehenden Paketen hinzugefügt wurde.
• Ein Parameter CleanupModulesOnExit wurde hinzugefügt, dessen Standardwert auf „no“ geändert wurde. Mit diesem Parameter können Sie die Entladung von Kernelmodulen nach Beendigung von firewalld steuern.
• Die Verwendung von ipset bei der Bestimmung des Zielsystems (destination) ist erlaubt.
• Die Definitionen der Dienste WireGuard, Kubernetes und netbios-ns wurden hinzugefügt.
• Autocomplete-Regeln für zsh wurden implementiert.
• Die Unterstützung für Python 2 wurde eingestellt.
• Die Liste der Abhängigkeiten wurde verkürzt. Neben dem Linux-Kernel benötigt firewalld jetzt nur noch die Python-Bibliotheken dbus, gobject und nftables, während die Pakete ebtables, ipset und iptables als optional eingestuft wurden. Die Python-Bibliotheken decorator und slip wurden aus den Abhängigkeiten entfernt.

Quelle: opennet.ru