Se ha formado la versión 2.4.0 del cortafuegos gestionado dinámicamente firewalld, implementado como un contenedor sobre los filtros de paquetes nftables e iptables. Firewalld se ejecuta como un proceso en segundo plano, lo que permite cambiar dinámicamente las reglas del filtro de paquetes a través de D-Bus, sin necesidad de reiniciar las reglas del filtro de paquetes y sin interrumpir las conexiones establecidas. El proyecto ya se utiliza en muchas distribuciones de Linux, incluyendo RHEL 7+, Fedora 18+ y SUSE/openSUSE 15+. El código de firewalld está escrito en Python y se distribuye bajo la licencia GPLv2.
La utilidad firewall-cmd se utiliza para gestionar el cortafuegos, que al crear reglas no se basa en direcciones IP, interfaces de red y números de puerto, sino en los nombres de los servicios (por ejemplo, para permitir el acceso a SSH, se debe ejecutar «firewall-cmd --add --service=ssh», para cerrar SSH — «firewall-cmd --remove --service=ssh»). Para modificar la configuración del cortafuegos, también se puede utilizar la interfaz gráfica firewall-config (GTK) y el applet firewall-applet (Qt). Hay soporte para gestionar el cortafuegos a través de la API D-BUS en proyectos como NetworkManager, libvirt, podman, docker y fail2ban.
Cambios clave:
- Se ha añadido un conjunto de reglas de «gateway», que cubre la funcionalidad de un típico enrutador doméstico (incluye NAT, manejadores de conntrack y redirección de tráfico entre zonas). Ejemplo de configuración de un puerta de enlace con interfaces de red internas y externas mediante el conjunto de reglas «gateway»: firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
- Se ha implementado la bandera «disable», que se puede utilizar en configuraciones XML, en la utilidad de línea de comandos o a través de DBus para desactivar reglas individuales y conjuntos de reglas (policy set).
- El tamaño máximo de los nombres de las reglas ha aumentado de 17 a 128 caracteres.
- Se ha añadido el servicio gitea para la plataforma de desarrollo colaborativo del mismo nombre (puerto TCP 3000).
- Se ha añadido el servicio syslog-ng para el sistema de registro homónimo (puertos 514, 601 y 6514).
- Se ha añadido el servicio proxy-http para el proxy HTTP/HTTPS, tipo Squid (puerto TCP 3128).
- Se ha añadido el servicio socks para proxy-servidores con la implementación del protocolo SOCKS (puerto TCP 1080).
Fuente: opennet.ru
