Väljaanne firewalld 1.0

Esitatud on tulemustega dünaamiliselt hallatava tulemüüri firewalld 1.0 versioon, mis on rakendatud pakettide filtreerimise nftables ja iptables kohal. Firewalld käivitatakse taustprotsessina, mis võimaldab dünaamiliselt muuta pakettide filtreerimise reegleid D-Bus kaudu, ilma et peaks uuesti laadima pakettide filtreerimise reegleid või katkestama kehtivaid ühendusi. Projekti kasutatakse juba paljudes Linuxi distributsioonides, sealhulgas RHEL 7+, Fedora 18+ ja SUSE/openSUSE 15+. Firewaldi kood on kirjutatud Pythonis ja levitatakse GPLv2 litsentsi alusel.

Tulemüüri haldamiseks kasutatakse tööriista firewall-cmd, mis reeglite loomisel ei põhine IP-aadresse, võrguliideste ja pordinumberte põhjal, ning teenuste nimedelt (näiteks, et avada juurdepääs SSH-le, tuleb täita „firewall-cmd —add —service=ssh”, SSH sulgemiseks — „firewall-cmd —remove —service=ssh”). Tulemüüri konfiguratsiooni muutmiseks saab samuti kasutada graafilist liidest firewall-config (GTK) ja rakendust firewall-applet (Qt). D-BUS API firewaldi kaudu tulemüüri haldamise tugi on olemas sellistes projektides nagu NetworkManager, libvirt, podman, docker ja fail2ban.

Olulise versiooninumbrimuutuse põhjustas mitmete tagurpidi ühilduvust rikkuda ja zone’ide töö käitumist muuta. Kõik ala määratud filtreerimisparameetrid rakenduvad nüüd ainult sellele hostile suunatud liiklusele, millel firewalld töötab, ja läbiva liikluse filtreerimise seadistamiseks on vajalik poliitikate seadistamine. Kõige tähelepanuväärsemad muudatused:

• Iptables'i kohal töötamise võimalust on kuulutatud vananenuks. Iptables'i tugi jääb lähitulevikus alles, kuid seda tagasiteenust ei arendata edasi.
• Sisse lülitatud ja vaikimisi aktiveeritud on uus intra-zone-forwarding režiim, mis lubab pakettide vabalt liikumist võrguliideste või liiklusallikate vahel ühe ala (public, block, trusted, internal jne) sees. Vanale käitumisele tagasipöördumiseks ja pakettide suunamise keelamiseks ühe ala sees saab kasutada käsku „firewall-cmd —permanent —zone public —remove-forward”.
• Aadresside tõlke (NAT) reeglid on viidud protokollide „inet” rikka (varem lisati need „ip” ja „ip6” peredes, mis tähendas, et tükke pidid olema kaks korda IPv4 ja IPv6 jaoks). Muudatus võimaldas eemaldada duplikaadid ipseti kasutamisel — kolmest ipseti kirjast kasutatakse nüüd ühte.
• Dote ‘default’, mis määratakse parameetriga ‘—set-target’, on nüüd ekvivalentne ‘reject’, st kõik paketid, mis ei vasta teatud reeglitele määratud piirkonnas, blokeeritakse vaikimisi. Erandiks on ICMP-paketid, mis jäävad endiselt lubatud. Vanema käitumise taastamiseks avalikult kätte saadaval olevale piirkonnale ‘trusted’ saab kasutada reegleid: firewall-cmd —permanent —new-policy allowForward firewall-cmd —permanent —policy allowForward —set-target ACCEPT firewall-cmd —permanent —policy allowForward —add-ingress-zone public firewall-cmd —permanent —policy allowForward —add-egress-zone trusted firewall-cmd —reload
• Positiivse prioriteediga poliitikad viiakse nüüd ellu vahetult enne reegli ‘—set-target catch-all’ täitmist, st ajaliselt enne lõppreeglite drop, reject või accept lisamist, sealhulgas piirkondades, kus kasutatakse ‘—set-target drop|reject|accept’.
• ICMP blokeerimine rakendatakse nüüd ainult sisenevatele pakkidele, mis on suunatud hetkel töötavale hostile (input) ja ei mõjuta piirkondade vahel suunatud pakette (forward).
• Tühistatud tftp-client teenus, mis oli mõeldud TFTP-protokolli ühenduste jälgimiseks, kuid oli kasutusvõimetu.
• Oma aegunud kujul on kuulutatud välja ‘direct’ liides, mis võimaldab otse sisestada valmis paketifiltri reegleid. Selle liidese vajadus kadus pärast suunatud ja väljaminevate pakettide filtrimise võimaluse lisamist.
• Lisatud parameeter CleanupModulesOnExit, mis on vaikimisi muudetud väärtusele ‘no’. Selle parameetriga saab hallata tuumamoodulite laadimist pärast firewalld töö lõpetamist.
• Ipseti kasutamine sihtsüsteemi (destination) määramisel on nüüd lubatud.
• Lisatud teenuste määratlused WireGuard, Kubernetes ja netbios-ns.
• Zsh jaoks on rakendatud automaatse täiendamise reeglid.
• Python 2 toe lõpetamine.
• Sõltuvuste nimekiri on lühendatud. Firewalld jaoks on nüüd vajalikud ainult Linuxi tuum ja python-raamatukogud dbus, gobject ja nftables, samas kui ebtables, ipset ja iptables on muudetud volituslikeks. Sõltuvustest on eemaldatud python-raamatukogud decorator ja slip.

Allikas: opennet.ru