De release van de dynamisch beheerde firewall firewalld 2.4.0 is geformaliseerd, geïmplementeerd als een wrapper bovenop de pakketfilters nftables en iptables. Firewalld draait als een achtergrondproces, waardoor het mogelijk is om de regels van het pakketfilter dynamisch te wijzigen via D-Bus, zonder de noodzaak om de regels opnieuw in te laden of de bestaande verbindingen te verbreken. Het project wordt al gebruikt in veel Linux-distributies, waaronder RHEL 7+, Fedora 18+ en SUSE/openSUSE 15+. De code van firewalld is geschreven in Python en verspreid onder de GPLv2-licentie.
Voor het beheer van de firewall wordt de utility firewall-cmd gebruikt, die bij het creëren van regels niet op IP-adressen, netwerkinterfaces en poortnummers, maar op de namen van services is gebaseerd (bijvoorbeeld om toegang tot SSH te openen, moet je "firewall-cmd --add --service=ssh" uitvoeren, en om SSH te sluiten "firewall-cmd --remove --service=ssh"). Voor het wijzigen van de firewallconfiguratie kan ook de grafische interface firewall-config (GTK) en de applet firewall-applet (Qt) worden gebruikt. Ondersteuning voor firewallbeheer via de D-BUS API van firewalld is aanwezig in projecten zoals NetworkManager, libvirt, podman, docker en fail2ban.
Belangrijkste wijzigingen:
- Een set van regels 'gateway' is toegevoegd die de functionaliteit van een typische thuisrouter dekt (inclusief NAT, conntrack-handlers en traffic forwarding tussen zones). Voorbeeld van de configuratie van een gateway met interne en externe netwerkinterfaces met behulp van de 'gateway' set van regels: firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
- Er is een 'disable' vlag geïmplementeerd die kan worden gebruikt in XML-configuraties, de opdrachtregeltool of via DBus om specifieke regels en sets van regels (policy set) uit te schakelen.
- De maximale lengte van regelnamen is verhoogd van 17 naar 128 karakters.
- De gitea-service is toegevoegd voor het gelijknamige samenwerkingsplatform (TCP-poort 3000).
- De syslog-ng-service is toegevoegd voor het gelijknamige logboekbeheer systeem (poorten 514, 601 en 6514).
- De proxy-http-service is toegevoegd voor HTTP/HTTPS proxy, vergelijkbaar met Squid (TCP-poort 3128).
- De socks-service is toegevoegd voor proxy-servers met de implementatie van het SOCKS-protocol (TCP-poort 1080).
Bron: opennet.ru
