Firewalld 1.0 გამოშვება

წარმოდგენილია დინამიურად კონტროლირებადი firewall firewall 1.0-ის გამოშვება, რომელიც დანერგილია nftables და iptables პაკეტის ფილტრებზე გადაფარვის სახით. Firewalld მუშაობს როგორც ფონური პროცესი, რომელიც საშუალებას გაძლევთ დინამიურად შეცვალოთ პაკეტის ფილტრის წესები D-Bus-ის საშუალებით, პაკეტის ფილტრის წესების გადატვირთვის ან დამყარებული კავშირების გაწყვეტის გარეშე. პროექტი უკვე გამოიყენება Linux-ის ბევრ დისტრიბუციაში, მათ შორის RHEL 7+, Fedora 18+ და SUSE/openSUSE 15+. Firewall-ის კოდი დაწერილია პითონში და ლიცენზირებულია GPLv2 ლიცენზიით.

firewall-ის სამართავად გამოიყენება firewall-cmd პროგრამა, რომელიც წესების შექმნისას ეფუძნება არა IP მისამართებს, ქსელის ინტერფეისებს და პორტის ნომრებს, არამედ სერვისების სახელებს (მაგალითად, SSH-ზე წვდომის გასახსნელად საჭიროა გაუშვით „firewall-cmd —add —service= ssh“, დახურეთ SSH – „firewall-cmd –remove –service=ssh“). Firewall-ის კონფიგურაციის შესაცვლელად ასევე შეიძლება გამოყენებულ იქნას firewall-config (GTK) გრაფიკული ინტერფეისი და firewall-applet (Qt) აპლეტი. Firewall-ის მართვის მხარდაჭერა D-BUS API firewald-ის საშუალებით ხელმისაწვდომია ისეთ პროექტებში, როგორიცაა NetworkManager, libvirt, podman, docker და fail2ban.

ვერსიის ნომრის მნიშვნელოვანი ცვლილება დაკავშირებულია ცვლილებებთან, რომლებიც არღვევს უკან თავსებადობას და ცვლის ზონებთან მუშაობის ქცევას. ზონაში განსაზღვრული ფილტრაციის ყველა პარამეტრი ახლა გამოიყენება მხოლოდ ჰოსტის მისამართით მიმართულ ტრაფიკზე, რომელზედაც მუშაობს ბუხარი, ხოლო სატრანზიტო ტრაფიკის გაფილტვრა მოითხოვს პოლიტიკის დაყენებას. ყველაზე შესამჩნევი ცვლილებები:

• ბექენდი, რომელიც მას iptables-ზე მუშაობის საშუალებას აძლევდა, მოძველებულად გამოცხადდა. iptables-ის მხარდაჭერა შენარჩუნდება უახლოეს მომავალში, მაგრამ ეს backend არ განვითარდება.
• შიდა ზონის გადამისამართების რეჟიმი ჩართულია და გააქტიურებულია ნაგულისხმევად ყველა ახალი ზონისთვის, რაც საშუალებას აძლევს პაკეტების თავისუფალ გადაადგილებას ქსელის ინტერფეისებს ან ტრაფიკის წყაროებს შორის ერთ ზონაში (საჯარო, ბლოკი, სანდო, შიდა და ა.შ.). ძველი ქცევის დასაბრუნებლად და პაკეტების ერთ ზონაში გადამისამართების თავიდან ასაცილებლად, შეგიძლიათ გამოიყენოთ ბრძანება „firewall-cmd –permanent –zone public –remove-forward“.
• მისამართების თარგმნასთან დაკავშირებული წესები (NAT) გადატანილია „inet“ პროტოკოლების ოჯახში (ადრე დაემატა „ip“ და „ip6“ ოჯახებს, რამაც გამოიწვია IPv4 და IPv6 წესების დუბლირების აუცილებლობა). ცვლილებამ მოგვცა საშუალება დაგვეღწია დუბლიკატები ipset-ის გამოყენებისას - ნაცვლად ipset ჩანაწერების სამი ასლისა, ახლა გამოიყენება ერთი.
• "--set-target" პარამეტრში მითითებული "ნაგულისხმევი" მოქმედება ახლა "უარის" ტოლფასია, ე.ი. ყველა პაკეტი, რომელიც არ ექვემდებარება ზონაში განსაზღვრულ წესებს, დაიბლოკება ნაგულისხმევად. გამონაკლისი კეთდება მხოლოდ ICMP პაკეტებისთვის, რომლებიც ჯერ კიდევ დაშვებულია. საჯაროდ მისაწვდომი „სანდო“ ზონისთვის ძველი ქცევის დასაბრუნებლად შეგიძლიათ გამოიყენოთ შემდეგი წესები: firewall-cmd — მუდმივი — ახალი პოლიტიკის დაშვება Forward firewall-cmd — მუდმივი — პოლიტიკის დაშვება Forward — მითითებული-მიზნობრივი ACCEPT firewall-cmd — მუდმივი — პოლიტიკის დაშვებაForward — add-ingress -zone public firewall-cmd — მუდმივი — პოლიტიკის დაშვებაForward — add-egress-zone trusted firewall-cmd — გადატვირთვა
• პოზიტიური პრიორიტეტის პოლიტიკა ახლა შესრულებულია „--დააყენე-მიზნის დაჭერა-ყველა“ წესის შესრულებამდე, ე.ი. საბოლოო ვარდნის დამატებამდე მომენტში, უარი თქვით ან დაეთანხმეთ წესებს, მათ შორის იმ ზონებისთვის, რომლებიც იყენებენ „--set-target drop| უარყოფა|მიღება“.
• ICMP დაბლოკვა ახლა ვრცელდება მხოლოდ შემომავალ პაკეტებზე, რომლებიც მიმართულია მიმდინარე ჰოსტზე (შეყვანა) და არ ახდენს გავლენას ზონებს შორის გადამისამართებულ პაკეტებზე (წინ).
• tftp-კლიენტის სერვისი, რომელიც შექმნილია TFTP პროტოკოლისთვის კავშირების თვალყურის დევნებისთვის, მაგრამ იყო გამოუსადეგარი სახით, ამოღებულია.
• „პირდაპირი“ ინტერფეისი მოძველებულია, რაც მზა პაკეტის ფილტრის წესების პირდაპირ ჩასმის საშუალებას იძლევა. ამ ინტერფეისის საჭიროება გაქრა გადამისამართებული და გამავალი პაკეტების გაფილტვრის შესაძლებლობის დამატების შემდეგ.
• დამატებულია CleanupModulesOnExit პარამეტრი, რომელიც ნაგულისხმევად შეიცვალა "არა". ამ პარამეტრის გამოყენებით შეგიძლიათ აკონტროლოთ ბირთვის მოდულების გადმოტვირთვა Firewall-ის გათიშვის შემდეგ.
• ნებადართულია ipset-ის გამოყენება სამიზნე სისტემის (დანიშნულების ადგილის) განსაზღვრისას.
• დამატებულია განმარტებები WireGuard, Kubernetes და netbios-ns სერვისებისთვის.
• დანერგილი ავტომატური შევსების წესები zsh-სთვის.
• Python 2-ის მხარდაჭერა შეწყდა.
• დამოკიდებულების სია შემცირდა. იმისათვის, რომ firewalld-მა იმუშაოს, Linux-ის ბირთვის გარდა, ახლა საჭიროა მხოლოდ პითონის ბიბლიოთეკები dbus, gobject და nftables, ხოლო ebtables, ipset და iptables პაკეტები კლასიფიცირებულია როგორც სურვილისამებრ. პითონის ბიბლიოთეკების დეკორატორი და სლიპი ამოღებულია დამოკიდებულებიდან.

წყარო: opennet.ru