Ir izlaists dinamiski pārvaldāma ugunsmūra firewalld 1.0 atjauninājums, kas realizēts kā iesaiņojums virs pakotņu filtriem nftables un iptables. Firewalld darbojas kā fons, ļaujot dinamiski mainīt pakotņu filtra noteikumus caur D-Bus, bez nepieciešamības pārstartēt pakotņu filtra noteikumus un bez savienojumu pārtraukumiem. Projekts jau tiek izmantots daudzos Linux izplatījumos, tostarp RHEL 7+, Fedora 18+ un SUSE/openSUSE 15+. Firewalld kods ir uzrakstīts Python valodā un tiek izplatīts saskaņā ar GPLv2 licenci.
Ugunsmūra pārvaldīšanai tiek izmantots rīks firewall-cmd, kas noteikumu izveidē balstās nevis uz IP adreses, tīkla interfeisiem un portu numuriem, un no pakalpojumu nosaukumiem (piemēram, lai atvērtu piekļuvi SSH, jāizpilda "firewall-cmd —add —service=ssh", lai aizvērtu SSH — "firewall-cmd —remove —service=ssh"). Ugunsmūra konfigurācijas maiņai var izmantot arī grafisko interfeisu firewall-config (GTK) un appletu firewall-applet (Qt). Atbalsts ugunsmūra pārvaldībai caur D-BUS API firewalld ir pieejams tādos projektos kā NetworkManager, libvirt, podman, docker un fail2ban.
Ievērojamā versijas numura maiņa ir saistīta ar izmaiņām, kas pārtrauc atpakaļējo saderību un maina darbu ar zonām. Visi parametri, kas noteikti zonā, tagad tiek piemēroti tikai tam trafikam, kas adresēts hostam, kurā darbojas firewalld, un, lai filtrētu tranzīta trafiku, nepieciešama politiku iestatīšana. Visredzamākās izmaiņas ir šādas:
- Ir paziņots par iptables bāzes aizmugures novecošanu. Atbalsts iptables tiks saglabāts tuvākajā nākotnē, taču šis aizmugure neattīstīsies.
- Iekļauts un aktivizēts pēc noklusējuma visām jaunajām zonām režīms intra-zone-forwarding, kas ļauj brīvi pārvietot paketes starp tīkla interfeisiem vai trafika avotiem vienā zonā (public, block, trusted, internal utt.). Lai atgrieztos pie vecās uzvedības un aizliegtu pārsūtīšanu paketes iekšienē vienā zonā, var izmantot komandu „firewall-cmd —permanent —zone public —remove-forward”.
- Adrešu tulkošanas (NAT) noteikumi ir pārvietoti uz protokolu ģimeni „inet” (iepriekš tika pievienoti „ip” un „ip6” ģimenēs, kas radīja nepieciešamību dublēt noteikumus gan IPv4, gan IPv6). Izmaiņu rezultātā ir izdevies novērst dublikātus, izmantojot ipset — trīs ipset ierakstu kopijas vietā tagad tiek izmantota viena.
- Darbība «default», ko norāda parametrs «—set-target», tagad ir ekvivalenta «reject», t.i., visi paketi, kas neatbilst konkrētajiem zonā noteikumiem, pēc noklusējuma tiks bloķēti. Izņēmums ir ICMP paketi, kuras joprojām tiek atļautas. Lai atgrieztu iepriekšējo uzvedību publiski pieejamajā zonā «trusted», var izmantot šos noteikumus: firewall-cmd —permanent —new-policy allowForward firewall-cmd —permanent —policy allowForward —set-target ACCEPT firewall-cmd —permanent —policy allowForward —add-ingress-zone public firewall-cmd —permanent —policy allowForward —add-egress-zone trusted firewall-cmd —reload
- Politikas ar pozitīvu prioritāti tagad tiek izpildītas tieši pirms noteikuma «—set-target catch-all» izpildes, t.i., brīdī, pirms pēdējo noteikumu drop, reject vai accept pievienošanas, tostarp zonām, kurās tiek izmantoti «—set-target drop|reject|accept».
- ICMP bloķēšana tagad tiek piemērota tikai ieejas paketi, kas adresēti pašreizējam hostam (input), un neietekmē paketes, kas tiek pārsūtītas starp zonām (forward).
- Tika izņemts servis tftp-client, kas bija paredzēts savienojumu izsekošanai TFTP protokolam, bet nebija izmantojams.
- Interfeiss «direct», kas ļāva tieši ievietot gatavus paketi filtrēšanas noteikumus, ir atzīts par novecojušu. Nepieciešamība pēc šī interfeisa ir izzudusi pēc tam, kad tika pievienota iespēja filtrēt pārsūtītas un izejošas paketes.
- Tika pievienots parametrs CleanupModulesOnExit, kura noklusējuma vērtība ir mainīta uz «no». Ar šo parametru var regulēt kodola moduļu izsniegšanu pēc firewalld darbības beigām.
- Izmantošana ipset ir atļauta, nosakot mērķa sistēmu (destination).
- Tika pievienoti WireGuard, Kubernetes un netbios-ns servisi.
- Tika ieviesti automātiskās pabeigšanas noteikumi zsh.
- Atbalsts Python 2 tika pārtraukts.
- Atkarību saraksts ir samazināts. Lai firewalld darbotos, papildus Linux kodolam tagad ir būtiski tikai python bibliotēkas dbus, gobject un nftables, kamēr paketes ebtables, ipset un iptables ir no opcijām. No atkarībām ir izņemtas python bibliotēkas decorator un slip.
Avots: opennet.lv
