Utgivelse av firewalld 1.0

Utgjeven versjon av den dynamisk styrte brannmurprogramvaren firewalld 1.0, som er implementert som et lag over pakke-filtrene nftables og iptables. Firewalld kjører som en bakgrunnsprosess, som gjør det mulig å endre pakke-filtregler dynamisk via D-Bus, uten behov for å laste inn på nytt de eksisterende reglene og uten å bryte etablerte forbindelser. Prosjektet er allerede i bruk i mange Linux-distribusjoner, inkludert RHEL 7+, Fedora 18+ og SUSE/openSUSE 15+. Koden for firewalld er skrevet i Python og distribueres under GPLv2-lisensen.

For å administrere brannmuren brukes verktøyet firewall-cmd, som når det oppretter regler baserer seg på IP-adresser, nettverksgrensesnitt og portnumre, men på tjenestenavn (for eksempel, for å åpne tilgang til SSH må man kjøre «firewall-cmd —add —service=ssh», for å stenge SSH — «firewall-cmd —remove —service=ssh»). For å endre brannmurkonfigurasjonen kan også det grafiske grensesnittet firewall-config (GTK) og applet-en firewall-applet (Qt) brukes. Støtte for å administrere brannmuren via D-BUS API firewalld er tilgjengelig i prosjekter som NetworkManager, libvirt, podman, docker og fail2ban.

Den betydelige endringen av versjonsnummeret skyldes endringer som bryter bakoverkompatibiliteten og endrer oppførselen for zone-håndtering. Alle innstilte parametere for filtrering i en sone gjelder nå kun for trafikk rettet mot verten hvor firewalld kjører, mens filtrering av transittrafikk krever tilpasning av politikker. De mest merkbare endringene er:

• Backend-en som tillot drift på toppen av iptables er blitt foreldet. Støtte for iptables vil bli opprettholdt i overskuelig framtid, men den backend-en vil ikke bli videreutviklet.
• Modus for intra-zone-forwarding er aktivert som standard for alle nye soner, som tillater fri bevegelse av pakker mellom nettverksgrensesnitt eller kilder innen én sone (public, block, trusted, internal, osv.). For å gjenopprette den gamle oppførselen og forby pakkeviderekobling innen én sone, kan kommandoen «firewall-cmd —permanent —zone public —remove-forward» brukes.
• Regler knyttet til NAT-adressering er flyttet til protokollfamilien «inet» (de ble tidligere lagt til i familiene «ip» og «ip6», noe som førte til behovet for å duplisere regler for IPv4 og IPv6). Endringen har gjort det mulig å unngå duplikater ved bruk av ipset – i stedet for tre kopier av ipset-poster brukes nå én.
• Handlinga «default», spesifisert i parameteren «—set-target», er nå ekvivalent med «reject», som betyr at alle pakker som ikke faller inn under bestemte regler i sonen, som standard vil bli blokkert. Unntaket er ICMP-pakker, som fortsatt slippes gjennom. For å gjenopprette det gamle atferden for den offentlig tilgjengelige sonen «trusted» kan man bruke reglene: firewall-cmd —permanent —new-policy allowForward firewall-cmd —permanent —policy allowForward —set-target ACCEPT firewall-cmd —permanent —policy allowForward —add-ingress-zone public firewall-cmd —permanent —policy allowForward —add-egress-zone trusted firewall-cmd —reload
• Politikkene med positiv prioritet utføres nå rett før reglen «—set-target catch-all» utføres, dvs. i øyeblikket før de endelige reglene drop, reject eller accept, også for soner der «—set-target drop|reject|accept» brukes.
• Blokkering av ICMP gjelder nå kun for innkommende pakker rettet mot den aktuelle verten (input) og påvirker ikke pakker som omdirigeres mellom soner (forward).
• Tjenesten tftp-client, laget for å spore forbindelser for TFTP-protokollen, er fjernet, da den har vært ubrukelig.
• Grensesnittet «direct» er erklært foreldet, som gjør det mulig å sette inn klare pakke-filter regler direkte. Behovet for dette grensesnittet forsvant etter at muligheten til å filtrere omdirigerte og utgående pakker ble lagt til.
• Parameteren CleanupModulesOnExit er lagt til, som som standard er endret til «no». Ved hjelp av denne parameteren kan man styre lasting av kjerner etter at firewalld har avsluttet.
• Bruk av ipset er tillatt ved bestemmelse av mål-systemet (destination).
• Definisjoner for tjenestene WireGuard, Kubernetes og netbios-ns er lagt til.
• Regler for autokomplettering for zsh er implementert.
• Støtte for Python 2 er avsluttet.
• Lista over avhengigheter er forkortet. For at firewalld skal fungere, kreves nå kun Python-bibliotekene dbus, gobject og nftables, mens ebtables, ipset og iptables er blitt valgfrie. Python-bibliotekene decorator og slip er fjernet fra avhengighetene.

Kilde: opennet.ru