Die Version 2.4.0 von firewalld, einem dynamisch verwalteten Firewall, wurde veröffentlicht. Sie basiert auf einer Erweiterung über die Paketfilter nftables und iptables. Firewalld läuft als Hintergrundprozess und ermöglicht es, die Regeln der Paketfilter über D-Bus dynamisch zu ändern, ohne die Regeln neu laden zu müssen oder bestehende Verbindungen zu unterbrechen. Das Projekt wird bereits in vielen Linux-Distributionen eingesetzt, darunter RHEL 7+, Fedora 18+ und SUSE/openSUSE 15+. Der Code von firewalld ist in Python geschrieben und wird unter der GPLv2-Lizenz veröffentlicht.
Zur Verwaltung der Firewall wird das Tool firewall-cmd verwendet, das beim Erstellen von Regeln nicht von IP-Adressen, Netzwerkschnittstellen und Portnummern, sowie von Servicenamen (zum Beispiel, um Zugriff auf SSH zu gewähren, muss man „firewall-cmd —add —service=ssh“ ausführen, um SSH zu schließen — „firewall-cmd —remove —service=ssh“). Für die Änderung der Firewall-Konfiguration kann auch die grafische Benutzeroberfläche firewall-config (GTK) und das Applet firewall-applet (Qt) verwendet werden. Die Unterstützung der Firewall-Verwaltung über die D-BUS-API von firewalld ist in Projekten wie NetworkManager, libvirt, podman, docker und fail2ban integriert.
Wichtige Änderungen:
- Ein Regelset «gateway» wurde hinzugefügt, das die Funktionen eines typischen Heimrouters abdeckt (einschließlich NAT, conntrack-Handler und Traffic-Umleitung zwischen Zonen). Beispiel für die Konfiguration eines Gateways mit internen und externen Netzwerkschnittstellen unter Verwendung des Regelsets «gateway»: firewall-cmd --permanent --zone internal --add-interface eth0 firewall-cmd --permanent --zone external --add-interface eth1 firewall-cmd --permanent --policy-set gateway --remove-disable firewall-cmd --reload
- Ein Flag «disable» wurde implementiert, das in XML-Konfigurationen, in der Befehlszeilenanwendung oder über D-Bus verwendet werden kann, um einzelne Regeln und Regelsets (policy set) zu deaktivieren.
- Die maximale Länge von Regelname wurde von 17 auf 128 Zeichen erhöht.
- Der gitea-Dienst für die gleichnamige Plattform für Zusammenarbeit wurde hinzugefügt (TCP-Port 3000).
- Der syslog-ng-Dienst für das gleichnamige Protokollierungssystem wurde hinzugefügt (Ports 514, 601 und 6514).
- Der proxy-http-Dienst für HTTP/HTTPS-Proxy vom Typ Squid wurde hinzugefügt (TCP-Port 3128).
- Der socks-Dienst wurde hinzugefügt fürServer Proxy mit SOCKS-Protokoll-Implementierung (TCP-Port 1080).
Quelle: opennet.ru
