La version 2.4.0 du pare-feu dynamique firewalld a été publiée. Elle est réalisée sous forme d'une interface au-dessus des filtres de paquets nftables et iptables. Firewalld fonctionne comme un processus en arrière-plan, permettant de modifier dynamiquement les règles du filtre de paquets via D-Bus, sans avoir besoin de redémarrer les règles du filtre ou d'interrompre les connexions établies. Le projet est déjà utilisé dans de nombreuses distributions Linux, y compris RHEL 7+, Fedora 18+ et SUSE/openSUSE 15+. Le code de firewalld est écrit en Python et diffusé sous licence GPLv2.
Pour gérer le pare-feu, on utilise l'outil firewall-cmd, qui, lors de la création de règles, se base non pas sur adresses IPles interfaces réseau et les numéros de ports, mais sur les noms de services (par exemple, pour ouvrir l'accès SSH, il faut exécuter « firewall-cmd --add --service=ssh », pour fermer SSH — « firewall-cmd --remove --service=ssh »). Une interface graphique pour modifier la configuration du pare-feu peut également être utilisée via firewall-config (GTK) et l'applet firewall-applet (Qt). La prise en charge de la gestion du pare-feu via l'API D-BUS de firewalld est présente dans des projets tels que NetworkManager, libvirt, podman, docker et fail2ban.
Principaux changements :
- Un ensemble de règles "gateway" a été ajouté, couvrant les fonctionnalités d'un routeur domestique typique (comprend NAT, des gestionnaires conntrack et le redirigement du trafic entre les zones). Exemple de configuration d'une passerelle avec des interfaces réseau internes et externes à l'aide de l'ensemble de règles "gateway": firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
- Un drapeau "disable" a été introduit, qui peut être utilisé dans les configurations XML, dans l'utilitaire de ligne de commande ou via DBus pour désactiver des règles individuelles et des ensembles de règles (policy set).
- La longueur maximale des noms de règles a été augmentée de 17 à 128 caractères.
- Un service gitea a été ajouté pour la plateforme de développement collaboratif homonyme (port TCP 3000).
- Un service syslog-ng a été ajouté pour le système de gestion de journaux homonyme (ports 514, 601 et 6514).
- Un service proxy-http a été ajouté pour le proxy HTTP/HTTPS, de type Squid (port TCP 3128).
- Un service socks pour les proxy a été ajouté.serveurs avec une implémentation du protocole SOCKS (port TCP 1080).
Source : opennet.ru
