Die Version 2.4.0 des dynamisch verwalteten Netzwerkschutzprogramms firewalld wurde veröffentlicht, das in Form einer Schnittstelle ĂŒber die Paketfilter nftables und iptables implementiert ist. Firewalld wird als Hintergrundprozess gestartet und ermöglicht die dynamische Ănderung von Paketfilterregeln ĂŒber D-Bus, ohne die Regeln neu laden zu mĂŒssen oder bestehende Verbindungen zu unterbrechen. Das Projekt wird bereits in vielen Linux-Distributionen verwendet, einschlieĂlich RHEL 7+, Fedora 18+ und SUSE/openSUSE 15+. Der Code von firewalld ist in Python geschrieben und unter der GPLv2-Lizenz lizenziert.
Zur Verwaltung der Firewall wird das Dienstprogramm firewall-cmd verwendet, das bei der Erstellung von Regeln nicht von IP-Adressen, Netzwerkinterfaces und Portnummern, sondern von Dienstnamen ausgeht (zum Beispiel muss zur Freigabe des Zugriffs auf SSH «firewall-cmd âadd âservice=ssh» und zur Sperrung von SSH «firewall-cmd âremove âservice=ssh» ausgefĂŒhrt werden). Zur Ănderung der Firewall-Konfiguration kann auch die grafische BenutzeroberflĂ€che firewall-config (GTK) und das Applet firewall-applet (Qt) verwendet werden. Die UnterstĂŒtzung fĂŒr die Verwaltung der Firewall ĂŒber die D-BUS-API von firewalld ist in Projekten wie NetworkManager, libvirt, podman, docker und fail2ban vorhanden.
Wesentliche Ănderungen:
- Ein Regelset fĂŒr 'gateway' wurde hinzugefĂŒgt, das die FunktionalitĂ€t eines typischen Heimrouters abdeckt (einschlieĂlich NAT, conntrack-Handler und Traffic-Weiterleitung zwischen Zonen). Beispiel fĂŒr die Konfiguration eines Gateways mit internen und externen Netzwerkschnittstellen mithilfe des Regelsets 'gateway': firewall-cmd âpermanent âzone internal âadd-interface eth0 firewall-cmd âpermanent âzone external âadd-interface eth1 firewall-cmd âpermanent âpolicy-set gateway âremove-disable firewall-cmd âreload
- Ein 'disable'-Flag wurde implementiert, das in XML-Konfigurationen, der Befehlszeilenanwendung oder ĂŒber D-Bus verwendet werden kann, um einzelne Regeln und Regelsets (policy set) zu deaktivieren.
- Die maximale LÀnge der Regelbezeichnungen wurde von 17 auf 128 Zeichen erhöht.
- Der gitea-Service fĂŒr die gleichnamige Plattform zur gemeinsamen Entwicklung wurde hinzugefĂŒgt (TCP-Port 3000).
- Der syslog-ng-Service fĂŒr das gleichnamige Logging-System wurde hinzugefĂŒgt (Ports 514, 601 und 6514).
- Der proxy-http-Service fĂŒr HTTP/HTTPS-Proxies vom Typ Squid wurde hinzugefĂŒgt (TCP-Port 3128).
- Der socks-Service fĂŒr Proxy-Server mit der Implementierung des SOCKS-Protokolls (TCP-Port 1080).
Quelle: opennet.ru
