Bol spustený dynamicky spravovaný firewall firewalld 2.4.0, ktorý bol realizovaný ako obal nad paketovými filtrami nftables a iptables. Firewalld beží ako proces na pozadí, ktorý umožňuje dynamicky meniť pravidlá paketového filtra prostredníctvom D-Bus, bez potreby opätovného načítania pravidiel paketového filtra a bez prerušenia aktívnych spojení. Projekt sa už používa v mnohých distribúciách Linuxu vrátane RHEL 7+, Fedora 18+ a SUSE/openSUSE 15+. Kód firewalld je napísaný v jazyku Python a šíri sa pod licenciou GPLv2.
Na správu firewallu sa používa utilita firewall-cmd, ktorá pri vytváraní pravidiel vychádza nie z IP adresy, sieťových rozhraní a čísiel portov, a od názvov služieb (napríklad pre otvorenie prístupu k SSH je potrebné vykonať „firewall-cmd —add —service=ssh“, pre uzavretie SSH — „firewall-cmd —remove —service=ssh“). Na zmenu konfigurácie firewalla môže byť tiež použitý grafický rozhranie firewall-config (GTK) a applet firewall-applet (Qt). Podpora správy firewalla cez D-BUS API firewalld je dostupná v takých projektoch, ako sú NetworkManager, libvirt, podman, docker a fail2ban.
Kľúčové zmeny:
- Pridaná sada pravidiel „gateway“, ktorá pokrýva funkčnosť typového domáceho smerovača (zahŕňa NAT, spracovanie conntrack a presmerovanie prevádzky medzi zónami). Príklad nastavenia brány s vnútornými a vonkajšími sieťovými rozhraniami pomocou sady pravidiel „gateway“: firewall-cmd —permanent —zone internal —add-interface eth0 firewall-cmd —permanent —zone external —add-interface eth1 firewall-cmd —permanent —policy-set gateway —remove-disable firewall-cmd —reload
- Realizovaná vlajka „disable“, ktorú je možné použiť v XML nastaveniach, príkazovom riadku alebo cez DBus na vypnutie jednotlivých pravidiel a sád pravidiel (policy set).
- Maximálna dĺžka názvov pravidiel bola zvýšená z 17 na 128 znakov.
- Pridaná služba gitea pre rovnomennú platformu na spoluprácu (TCP port 3000).
- Pridaná služba syslog-ng pre rovnomenný systém protokolovania (porty 514, 601 a 6514).
- Pridaná služba proxy-http pre HTTP/HTTPS proxy, typu Squid (TCP port 3128).
- Pridaná služba socks pre proxy-serverov so realizáciou protokolu SOCKS (TCP port 1080).
Zdroj: opennet.ru
