Släpp av firewalld 1.0

Det har släppts en version av den dynamiskt hanterade brandväggen firewalld 1.0, som implementerats som en wrapper över paketfiltreringssystemen nftables och iptables. Firewalld körs som en bakgrundsprocess som möjliggör dynamisk ändring av paketfilterregler via D-Bus, utan behov av att ladda om reglerna för paketfilter och utan avbrott för befintliga anslutningar. Projektet används redan i många Linux-distributioner, inklusive RHEL 7+, Fedora 18+ och SUSE/openSUSE 15+. Koden för firewalld är skriven i Python och distribueras under GPLv2-licensen.

För att hantera brandväggen används verktyget firewall-cmd, vilket vid skapandet av regler inte baseras på IP-adresser, nätverksgränssnitt och portnummer, utan på tjänsternas namn (till exempel, för att öppna åtkomst till SSH, kör "firewall-cmd --add --service=ssh", för att stänga SSH - "firewall-cmd --remove --service=ssh"). För att ändra brandväggens konfiguration kan även det grafiska gränssnittet firewall-config (GTK) och applet firewall-applet (Qt) användas. Stöd för hantering av brandväggen via D-BUS API firewalld finns i projekt som NetworkManager, libvirt, podman, docker och fail2ban.

Den betydande ändringen av versionsnumret är relaterad till ändringar som bryter bakåtkompatibiliteten och förändrar hur zoner interagerar. Alla parametrar för filtrering som definieras i en zon tillämpas nu endast för trafik som är adresserad till den värd där firewalld körs, medan filtrering av transittrafik kräver att policys ställs in. De mest uppenbara förändringarna är:

• Backend-lösningen som tillät användning ovanpå iptables har deklarerats som föråldrad. Stödet för iptables kommer att bibehållas under överskådlig framtid, men denna backend kommer inte att vidareutvecklas.
• Modus intra-zone-forwarding har aktiverats som standard för alla nya zoner, vilket tillåter fritt flöde av paket mellan nätverksgränssnitt eller trafikskällor inom en zon (public, block, trusted, internal etc.). För att återfå det gamla beteendet och förbjuda omdirigering av paket inom en zon kan kommandot "firewall-cmd --permanent --zone public --remove-forward" användas.
• Regler relaterade till adressöversättning (NAT) har flyttats till protokollfamiljen "inet" (tidigare lades de till familjerna "ip" och "ip6", vilket ledde till duplicering av regler för IPv4 och IPv6). Denna förändring har gjort att dubbletter kan undvikas vid användning av ipset - istället för tre kopior av ipset-poster används nu en enda.
• Åtgärden «default», angiven i parametern «—set-target», är nu ekvivalent med «reject», dvs. alla paket som inte faller under vissa regler i zonen kommer som standard att blockeras. Ett undantag har endast gjorts för ICMP-paket, som fortfarande tillåts. För att återfå det gamla beteendet för den offentligt tillgängliga zonen «trusted» kan följande regler användas: firewall-cmd —permanent —new-policy allowForward firewall-cmd —permanent —policy allowForward —set-target ACCEPT firewall-cmd —permanent —policy allowForward —add-ingress-zone public firewall-cmd —permanent —policy allowForward —add-egress-zone trusted firewall-cmd —reload
• Policys med positiv prioritet körs nu direkt före regeln «—set-target catch-all», dvs. i ögonblicket före tillägget av slutliga regler drop, reject eller accept, inklusive för zoner där «—set-target drop|reject|accept» används.
• Blockeringen av ICMP tillämpas nu endast på inkommande paket adresserade till den aktuella värden (input) och berör inte paket som omdirigeras mellan zoner (forward).
• Tjänsten tftp-client, avsedd för att spåra anslutningar för TFTP-protokollet, har tagits bort, eftersom den var oanvändbar.
• Gränssnittet «direct» har förklarats föråldrat, vilket tillät direkt insättning av färdiga regler för paketfilter. Behovet av detta gränssnitt försvann efter att möjligheten att filtrera omdirigerade och utgående paket lades till.
• Parametern CleanupModulesOnExit har lagts till och ändrats till standardvärdet «no». Genom denna parameter kan man styra avlastningen av kärnmoduler efter att firewalld har avslutats.
• Användning av ipset vid bestämning av destinationssystem (destination) har tillåtits.
• Definitionerna av tjänster för WireGuard, Kubernetes och netbios-ns har lagts till.
• Regler för autocompletions har implementerats för zsh.
• Stödet för Python 2 har upphört.
• Listan över beroenden har förkortats. För att firewalld ska fungera krävs nu förutom Linux-kärnan endast python-biblioteken dbus, gobject och nftables, medan paketen ebtables, ipset och iptables nu är valfria. Från beroenden har python-biblioteken decorator och slip tagits bort.

Källa: opennet.ru