Die Version 2.4.0 des dynamisch verwalteten Netzwerkschutzprogramms firewalld wurde veröffentlicht, das in Form einer Schnittstelle über die Paketfilter nftables und iptables implementiert ist. Firewalld wird als Hintergrundprozess gestartet und ermöglicht die dynamische Änderung von Paketfilterregeln über D-Bus, ohne die Regeln neu laden zu müssen oder bestehende Verbindungen zu unterbrechen. Das Projekt wird bereits in vielen Linux-Distributionen verwendet, einschließlich RHEL 7+, Fedora 18+ und SUSE/openSUSE 15+. Der Code von firewalld ist in Python geschrieben und unter der GPLv2-Lizenz lizenziert.
Zur Verwaltung der Firewall wird das Dienstprogramm firewall-cmd verwendet, das bei der Erstellung von Regeln nicht von IP-Adressen, Netzwerkinterfaces und Portnummern, sondern von Dienstnamen ausgeht (zum Beispiel muss zur Freigabe des Zugriffs auf SSH «firewall-cmd —add —service=ssh» und zur Sperrung von SSH «firewall-cmd —remove —service=ssh» ausgeführt werden). Zur Änderung der Firewall-Konfiguration kann auch die grafische Benutzeroberfläche firewall-config (GTK) und das Applet firewall-applet (Qt) verwendet werden. Die Unterstützung für die Verwaltung der Firewall über die D-BUS-API von firewalld ist in Projekten wie NetworkManager, libvirt, podman, docker und fail2ban vorhanden.
Wesentliche Änderungen:
- Ein Regelset für 'gateway' wurde hinzugefügt, das die Funktionalität eines typischen Heimrouters abdeckt (einschließlich NAT, conntrack-Handler und Traffic-Weiterleitung zwischen Zonen). Beispiel für die Konfiguration eines Gateways mit internen und externen Netzwerkschnittstellen mithilfe des Regelsets 'gateway': firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
- Ein 'disable'-Flag wurde implementiert, das in XML-Konfigurationen, der Befehlszeilenanwendung oder über D-Bus verwendet werden kann, um einzelne Regeln und Regelsets (policy set) zu deaktivieren.
- Die maximale Länge der Regelbezeichnungen wurde von 17 auf 128 Zeichen erhöht.
- Der gitea-Service für die gleichnamige Plattform zur gemeinsamen Entwicklung wurde hinzugefügt (TCP-Port 3000).
- Der syslog-ng-Service für das gleichnamige Logging-System wurde hinzugefügt (Ports 514, 601 und 6514).
- Der proxy-http-Service für HTTP/HTTPS-Proxies vom Typ Squid wurde hinzugefügt (TCP-Port 3128).
- Der socks-Service für Proxy-Server mit der Implementierung des SOCKS-Protokolls (TCP-Port 1080).
Quelle: opennet.ru
