Firewalld 2.4.0, un pare-feu à gestion dynamique conçu comme une surcouche des filtres de paquets nftables et iptables, est disponible. Fonctionnant en arrière-plan, Firewalld permet la modification dynamique des règles de filtrage de paquets via D-Bus, sans rechargement de ces règles ni interruption des connexions établies. Ce projet est déjà utilisé dans de nombreuses distributions. Linux, notamment RHEL 7+, Fedora 18+ et SUSE/openSUSE 15+. Le code de firewalld est écrit en Python et distribué sous la licence GPLv2.
Pour gérer le pare-feu, on utilise l'utilitaire firewall-cmd, qui ne dépend pas de Adresses IPLes interfaces réseau, les numéros de port et les noms de service peuvent être configurés (par exemple, pour ouvrir l'accès SSH, exécutez « firewall-cmd --add --service=ssh » ; pour le fermer, exécutez « firewall-cmd --remove --service=ssh »). L'interface graphique firewall-config (GTK) et l'applet firewall-applet (Qt) permettent également de modifier la configuration du pare-feu. La gestion du pare-feu via l'API D-BUS firewalld est prise en charge par des projets tels que NetworkManager, libvirt, podman, docker et fail2ban.
Changements clés :
- Un ensemble de règles de passerelle a été ajouté, couvrant les fonctionnalités d'un routeur domestique standard (y compris la NAT, la gestion des connexions et la redirection du trafic inter-zones). Voici un exemple de configuration d'une passerelle avec des interfaces réseau internes et externes à l'aide de cet ensemble de règles : `firewall-cmd --permanent --zone internal --add-interface eth0` `firewall-cmd --permanent --zone external --add-interface eth1` `firewall-cmd --permanent --policy-set gateway --remove-disable` `firewall-cmd --reload`
- Un indicateur « désactivation » a été implémenté et peut être utilisé dans les paramètres XML, l’utilitaire de ligne de commande ou via DBus pour désactiver des règles et des ensembles de politiques individuels.
- La taille maximale des noms de règles a été augmentée de 17 à 128 caractères.
- Ajout du service gitea pour la plateforme de développement collaboratif du même nom (port TCP 3000).
- Ajout du service syslog-ng pour le système de journalisation du même nom (ports 514, 601 et 6514).
- Ajout d'un service proxy-http pour les proxys HTTP/HTTPS, tels que Squid (port TCP 3128).
- Ajout d'un service SOCKS pour le proxyles serveurs avec la mise en œuvre du protocole SOCKS (port TCP 1080).
Source: opennet.ru
