Foi lançado o firewalld 2.4.0, um firewall dinâmico que funciona como uma camada sobre os filtros de pacotes nftables e iptables. O firewalld opera como um processo em segundo plano, permitindo que as regras do filtro de pacotes sejam alteradas dinamicamente via D-Bus, sem a necessidade de reiniciar as regras e sem interromper conexões estabelecidas. O projeto já está em uso em várias distribuições Linux, incluindo RHEL 7+, Fedora 18+ e SUSE/openSUSE 15+. O código do firewalld é escrito em Python e é distribuído sob a licença GPLv2.
Para gerenciar o firewall, utiliza-se a ferramenta firewall-cmd, que, ao criar regras, se baseia não em endereços IP, interfaces de rede e números de porta, mas sim nos nomes dos serviços (por exemplo, para abrir o acesso ao SSH, deve-se executar "firewall-cmd --add --service=ssh", e para fechar o SSH – "firewall-cmd --remove --service=ssh"). Para alterar a configuração do firewall, também pode ser utilizada a interface gráfica firewall-config (GTK) e o applet firewall-applet (Qt). O suporte à gestão do firewall através da API D-BUS firewalld está disponível em projetos como NetworkManager, libvirt, podman, docker e fail2ban.
Mudanças principais:
- Foi adicionado um conjunto de regras "gateway", cobrindo a funcionalidade típica de um roteador doméstico (inclui NAT, manipuladores conntrack e redirecionamento de tráfego entre zonas). Exemplo de configuração de um gateway com interfaces de rede interna e externa usando o conjunto de regras "gateway": firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
- Foi implementada a flag "disable", que pode ser usada nas configurações XML, na ferramenta de linha de comando ou via DBus para desativar regras individuais e conjuntos de regras (policy set).
- O tamanho máximo dos nomes das regras foi aumentado de 17 para 128 caracteres.
- Foi adicionado o serviço gitea para a plataforma de desenvolvimento colaborativo homônima (porta TCP 3000).
- Foi adicionado o serviço syslog-ng para o sistema de gerenciamento de logs homônimo (portas 514, 601 e 6514).
- Foi adicionado o serviço proxy-http para proxy HTTP/HTTPS, tipo Squid (porta TCP 3128).
- Foi adicionado o serviço socks para proxy-servidores com implementação do protocolo SOCKS (porta TCP 1080).
Fonte: opennet.ru
