Die Veröffentlichung der dynamisch verwaltbaren Firewall firewalld 1.2 wurde bekannt gegeben, die in Form einer Wrapper-Lösung über den Paketfiltern nftables und iptables realisiert wurde. Firewalld wird als Hintergrundprozess gestartet, der es ermöglicht, die Regeln des Paketfilters über D-Bus dynamisch zu ändern, ohne die Regeln neu laden zu müssen und ohne bestehende Verbindungen zu unterbrechen. Das Projekt wird bereits in vielen Linux-Distributionen verwendet, darunter RHEL 7+, Fedora 18+ und SUSE/openSUSE 15+. Der Code von firewalld ist in Python geschrieben und wird unter der Lizenz GPLv2 vertrieben.
Zur Verwaltung der Firewall wird das Dienstprogramm firewall-cmd verwendet, das bei der Erstellung von Regeln nicht von IP-Adressen, Netzwerkinterfaces und Portnummern, sowie die Namen der Dienste (zum Beispiel, um den Zugriff auf SSH zu öffnen, muss «firewall-cmd —add —service=ssh» ausgeführt werden, zum Schließen von SSH — «firewall-cmd —remove —service=ssh»). Für die Änderung der Firewall-Konfiguration kann auch die grafische Benutzeroberfläche firewall-config (GTK) und das Applet firewall-applet (Qt) verwendet werden. Die Unterstützung für die Verwaltung der Firewall über die D-BUS-API firewalld ist in Projekten wie NetworkManager, libvirt, podman, docker und fail2ban vorhanden.
Hauptänderungen:
- Die Dienste snmptls und snmptls-trap zur Verarbeitung des Zugriffs auf das SNMP-Protokoll über einen sicheren Kommunikationskanal wurden implementiert.
- Ein Dienst mit Unterstützung für das Protokoll, das im dezentralisierten Dateisystem IPFS verwendet wird, wurde implementiert.
- Dienste mit Unterstützung für gpsd, ident, ps3netsrv, CrateDB, checkmk, netdata, Kodi JSON-RPC, EventServer, Prometheus node-exporter, kubelet-readonly sowie einer sicheren Version des k8s controller-plane wurden hinzugefügt.
- Der Parameter «—log-target» wurde hinzugefügt.
- Ein failsafe-Betriebsmodus wurde hinzugefügt, der es ermöglicht, im Falle von Problemen mit den angegebenen Regeln auf die Standardkonfiguration zurückzukehren, ohne den Host ungeschützt zu lassen.
- Für bash wurde die Unterstützung für die automatische Vervollständigung von Befehlen für die Arbeit mit Regeln bereitgestellt.
Quelle: opennet.ru
