De release van de dynamisch beheerde firewall firewalld 1.0 is gepresenteerd, geïmplementeerd als een wrapper bovenop de pakketfilters nftables en iptables. Firewalld draait als een achtergrondproces, waarmee de firewallregels dynamisch kunnen worden gewijzigd via D-Bus, zonder dat het nodig is de firewallregels opnieuw te laden en zonder verbroken verbindingen. Het project wordt al gebruikt in veel Linux-distributies, waaronder RHEL 7+, Fedora 18+ en SUSE/openSUSE 15+. De code van firewalld is geschreven in Python en wordt verspreid onder de GPLv2-licentie.
Voor het beheer van de firewall wordt de utility firewall-cmd gebruikt, die bij het creëren van regels niet op IP-adressen, netwerkinterfaces en poortnummers, en op de namen van diensten (bijvoorbeeld, om toegang tot SSH te openen, moet je "firewall-cmd --add --service=ssh" uitvoeren, en om SSH te sluiten, "firewall-cmd --remove --service=ssh"). Voor het wijzigen van de firewallconfiguratie kan ook de grafische interface firewall-config (GTK) en de applet firewall-applet (Qt) worden gebruikt. Ondersteuning voor het beheer van de firewall via de D-BUS API van firewalld is aanwezig in projecten zoals NetworkManager, libvirt, podman, docker en fail2ban.
De significante wijziging van het versienummer is het gevolg van veranderingen die de achterwaartse compatibiliteit verstoren en het gedrag van de omgang met zones wijzigen. Alle parameters voor filtering die in de zone zijn gedefinieerd, worden nu alleen toegepast op verkeer dat bestemd is voor de host waarop firewalld draait, en voor het filteren van transitverkeer zijn beleidsinstellingen vereist. De meest opvallende wijzigingen zijn:
- De achterliggende backend die werkte bovenop iptables is afgeschreven. Ondersteuning voor iptables zal in de nabije toekomst behouden blijven, maar deze backend zal niet verder ontwikkeld worden.
- Intra-zone-forwarding is standaard ingeschakeld en geactiveerd voor alle nieuwe zones, wat de vrije bewegen van pakketten tussen netwerkintefaces of verkeersbronnen binnen een zone (zoals public, block, trusted, internal, etc.) mogelijk maakt. Om het oude gedrag terug te krijgen en het doorsturen van pakketten binnen één zone te verbieden, kan de opdracht "firewall-cmd —permanent —zone public —remove-forward" worden gebruikt.
- Regels met betrekking tot adresvertaling (NAT) zijn verplaatst naar het protocolfamilie 'inet' (voorheen toegevoegd in de families 'ip' en 'ip6', wat leidde tot de noodzaak van duplicatie van regels voor IPv4 en IPv6). Deze wijziging heeft het mogelijk gemaakt om duplicaten te vermijden bij het gebruik van ipset - in plaats van drie kopieën van ipset-registraties wordt nu één enkele gebruikt.
- De actie «default», aangegeven in de parameter «—set-target», is nu gelijk aan «reject», dat wil zeggen dat alle pakketten die niet voldoen aan bepaalde regels in de zone standaard zullen worden geblokkeerd. Uitzonderingen zijn alleen gemaakt voor ICMP-pakketten, die nog steeds worden doorgegeven. Om het oude gedrag voor de publiek toegankelijke zone «trusted» te herstellen, kunnen de volgende commando's worden gebruikt: firewall-cmd —permanent —new-policy allowForward firewall-cmd —permanent —policy allowForward —set-target ACCEPT firewall-cmd —permanent —policy allowForward —add-ingress-zone public firewall-cmd —permanent —policy allowForward —add-egress-zone trusted firewall-cmd —reload
- Beleid met een positieve prioriteit wordt nu uitgevoerd net voordat de regel «—set-target catch-all» wordt uitgevoerd, dat wil zeggen op het moment dat de definitieve regels drop, reject of accept worden toegevoegd, ook voor zones waarin «—set-target drop|reject|accept» wordt gebruikt.
- Blokkering van ICMP wordt nu alleen toegepast op inkomende pakketten die zijn gericht op de huidige host (input) en beïnvloedt geen pakketten die tussen zones worden doorgestuurd (forward).
- De service tftp-client is verwijderd, die bedoeld was voor het volgen van verbindingen voor het TFTP-protocol, maar in een onbruikbare staat verkeerde.
- De interface «direct» is afgekeurd, die het mogelijk maakte om kant-en-klare regels voor pakketfiltering rechtstreeks in te voeren. De behoefte aan deze interface is verdwenen na de toevoeging van de mogelijkheid om doorgestuurde en uitgaande pakketten te filteren.
- De parameter CleanupModulesOnExit is toegevoegd, die standaard is ingesteld op «no». Met deze parameter kan de uitlading van kernelmodules na het afsluiten van firewalld worden beheerd.
- Het gebruik van ipset is toegestaan bij het definiëren van het doelsysteem (destination).
- Definities voor de diensten WireGuard, Kubernetes en netbios-ns zijn toegevoegd.
- Autocompleetregels voor zsh zijn geïmplementeerd.
- De ondersteuning voor Python 2 is stopgezet.
- De lijst met afhankelijkheden is verkort. Voor het functioneren van firewalld zijn nu naast de Linux-kernel alleen de python-bibliotheken dbus, gobject en nftables vereist, terwijl de pakketten ebtables, ipset en iptables optioneel zijn geworden. De python-bibliotheken decorator en slip zijn uit de afhankelijkheden verwijderd.
Bron: opennet.ru
