È stata rilasciata la versione del firewall firewalld 2.4.0, realizzato come un interfaccia sopra i filtri pacchetti nftables e iptables. Firewalld viene eseguito come processo in background, consentendo di modificare dinamicamente le regole del filtro pacchetti tramite D-Bus, senza la necessità di ricaricare le regole del filtro pacchetti e senza interrompere le connessioni stabilite. Il progetto è già utilizzato in molte distribuzioni Linux, tra cui RHEL 7+, Fedora 18+ e SUSE/openSUSE 15+. Il codice di firewalld è scritto in Python e distribuito sotto licenza GPLv2.
Per gestire il firewall viene utilizzata l'utility firewall-cmd, che si basa non su indirizzi IP, interfacce di rete e numeri di porta, ma sui nomi dei servizi (ad esempio, per aprire l'accesso a SSH è necessario eseguire «firewall-cmd —add —service=ssh», per chiudere SSH — «firewall-cmd —remove —service=ssh»). Per modificare la configurazione del firewall può essere utilizzata anche l'interfaccia grafica firewall-config (GTK) e l'applet firewall-applet (Qt). Il supporto per la gestione del firewall tramite l'API D-BUS di firewalld è disponibile in progetti come NetworkManager, libvirt, podman, docker e fail2ban.
Principali modifiche:
- È stato aggiunto un insieme di regole "gateway", che copre la funzionalità di un tipico router domestico (includendo NAT, gestori conntrack e inoltro del traffico tra zone). Ecco un esempio di impostazione del gateway con interfacce di rete interne ed esterne utilizzando l'insieme di regole "gateway": firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
- È stata implementata l'opzione "disable", che può essere utilizzata nelle impostazioni XML, nell'utility da riga di comando o tramite DBus per disabilitare singole regole e insiemi di regole (policy set).
- È stata aumentata la dimensione massima dei nomi delle regole da 17 a 128 caratteri.
- È stato aggiunto il servizio gitea per la piattaforma di sviluppo collaborativo omonima (porta TCP 3000).
- È stato aggiunto il servizio syslog-ng per il sistema di registrazione dei log omonimo (porte 514, 601 e 6514).
- È stato aggiunto il servizio proxy-http per proxy HTTP/HTTPS tipo Squid (porta TCP 3128).
- È stato aggiunto il servizio socks per proxy-server con implementazione del protocollo SOCKS (porta TCP 1080).
Fonte: opennet.ru
