Veröffentlichung von firewalld 1.0

Die Veröffentlichung von firewalld 1.0, einer dynamisch verwaltbaren Firewall, die als Wrapper über den Paketfiltern nftables und iptables implementiert wurde, wurde vorgestellt. Firewalld wird als Hintergrundprozess ausgeführt und ermöglicht es, die Regeln des Paketfilters über D-Bus dynamisch zu ändern, ohne die Regeln neu laden oder bestehende Verbindungen trennen zu müssen. Das Projekt wird bereits in vielen Linux-Distributionen eingesetzt, einschließlich RHEL 7+, Fedora 18+ und SUSE/openSUSE 15+. Der Code von firewalld ist in Python geschrieben und wird unter der GPLv2-Lizenz verbreitet.

Zur Verwaltung der Firewall wird das Dienstprogramm firewall-cmd verwendet, das bei der Erstellung von Regeln nicht von IP-Adressen, Netzwerkinterfaces und Portnummern, sowie die Namen der Dienste (zum Beispiel, um den Zugriff auf SSH zu öffnen, muss «firewall-cmd —add —service=ssh» ausgeführt werden, zum Schließen von SSH — «firewall-cmd —remove —service=ssh»). Für die Änderung der Firewall-Konfiguration kann auch die grafische Benutzeroberfläche firewall-config (GTK) und das Applet firewall-applet (Qt) verwendet werden. Die Unterstützung für die Verwaltung der Firewall über die D-BUS-API firewalld ist in Projekten wie NetworkManager, libvirt, podman, docker und fail2ban vorhanden.

Die signifikante Änderung der Versionsnummer steht im Zusammenhang mit Anpassungen, die die Abwärtskompatibilität verletzen und das Verhalten im Umgang mit Zonen ändern. Alle in der Zone definierten Filterparameter gelten jetzt nur noch für den Verkehr, der an den Host gerichtet ist, auf dem firewalld läuft, während für die Filterung des Transitverkehrs eine Richtlinieneinstellung erforderlich ist. Die auffälligsten Änderungen sind:

• Der Backend, der die Arbeiten über iptables ermöglichte, wurde als veraltet erklärt. Die Unterstützung für iptables wird in naher Zukunft aufrechterhalten, jedoch wird dieser Backend nicht weiterentwickelt.
• Der intra-zone-forwarding-Modus ist für alle neuen Zonen standardmäßig aktiv und ermöglicht die ungehinderte Bewegung von Paketen zwischen Netzwerkinterfaces oder Verkehrsquellen innerhalb einer Zone (öffentlich, blockiert, vertrauenswürdig, intern usw.). Um das alte Verhalten wiederherzustellen und die Weiterleitung von Paketen innerhalb einer Zone zu verbieten, kann der Befehl „firewall-cmd —permanent —zone public —remove-forward“ verwendet werden.
• Die mit der Adressübersetzung (NAT) verbundenen Regeln wurden in die Protokollfamilie „inet“ verschoben (früher wurden sie in den Familien „ip“ und „ip6“ hinzugefügt, was die Duplizierung von Regeln für IPv4 und IPv6 erforderte). Diese Änderung hat es ermöglicht, Duplikate bei der Verwendung von ipset zu vermeiden – anstelle von drei Kopien der ipset-Einträge wird jetzt nur eine verwendet.
• Die Aktion «default», die im Parameter «—set-target» angegeben wird, ist jetzt gleichbedeutend mit «reject», d.h. alle Pakete, die nicht unter bestimmte Regeln in der Zone fallen, werden standardmäßig blockiert. Eine Ausnahme wurde nur für ICMP-Pakete gemacht, die weiterhin durchgelassen werden. Um das alte Verhalten für die öffentlich zugängliche Zone «trusted» wiederherzustellen, können die Regeln verwendet werden: firewall-cmd —permanent —new-policy allowForward firewall-cmd —permanent —policy allowForward —set-target ACCEPT firewall-cmd —permanent —policy allowForward —add-ingress-zone public firewall-cmd —permanent —policy allowForward —add-egress-zone trusted firewall-cmd —reload
• Politiken mit positiver Priorität werden jetzt direkt vor der Ausführung der Regel «—set-target catch-all» ausgeführt, d.h. zu dem Zeitpunkt, der der Hinzufügung der endgültigen Regeln drop, reject oder accept vorausgeht, einschließlich für Zonen, in denen «—set-target drop|reject|accept» verwendet wird.
• Die Blockierung von ICMP gilt jetzt nur für eingehende Pakete, die an den aktuellen Host adressiert sind (input), und betrifft nicht die zwischen den Zonen weitergeleiteten Pakete (forward).
• Der Dienst tftp-client, der zur Verfolgung von Verbindungen für das Protokoll TFTP vorgesehen war, wurde entfernt, da er in einer unbrauchbaren Form vorlag.
• Das Interface «direct», das das direkte Einfügen von fertigen Paketfilterregeln ermöglichte, wurde als veraltet erklärt. Der Bedarf an diesem Interface entfiel nach der Hinzufügung der Möglichkeit, weitergeleitete und ausgehende Pakete zu filtern.
• Ein Parameter CleanupModulesOnExit wurde hinzugefügt, der standardmäßig auf «no» geändert wurde. Mit diesem Parameter kann die Entladung von Kernelmodulen nach dem Beenden von firewalld gesteuert werden.
• Die Verwendung von ipset bei der Bestimmung des Zielsystems (destination) wurde ermöglicht.
• Es wurden Definitionen für die Dienste WireGuard, Kubernetes und netbios-ns hinzugefügt.
• Autovervollständigungsregeln für zsh wurden implementiert.
• Die Unterstützung von Python 2 wurde eingestellt.
• Die Liste der Abhängigkeiten wurde verkürzt. Für den Betrieb von firewalld werden neben dem Linux-Kernel nun nur noch die python-Bibliotheken dbus, gobject und nftables benötigt, während die Pakete ebtables, ipset und iptables als optional eingestuft wurden. Von den Abhängigkeiten wurden die python-Bibliotheken decorator und slip entfernt.

Quelle: opennet.ru