Witam
Po dłuższym przyglądaniu się firewallowi Czerwa mam pewien pomysł na nowy sposób działania firewalla (oparty na firewallu Czerwa i ten najbardziej się nadaje).
Zasada działania:
- 1. Dodajemy nowy katalog /etc/iptables/rules/
- 2. Konfigurator Czerwa nie buduje firewalla tylko pisze gotowe reguły do /etc/iptables/rules/ (np. /etc/iptables/rules/początkowe, /etc/iptables/rules/ipdeny, /etc/iptables/rules/masq, itd.)
- 3. dodajemy nowy plik /etc/iptables/rules.queue w którym zapisana jest kolejność dodawania bloków reguł, zapis dowolny np. lub każda nazwa w nowej linijce (muszą się wypowiedzieć bashowcy)
- 4. Skrypt startujący firewalla układa kod firewalla z klocków znajdujących się w /etc/iptables/rules/ na podstawie /etc/iptables/rules.queue a następnie nadaje gotowemu skryptowi firewalla prawa do wykonywania i odpala, i ewentualnie usuwa plik.
- 5. Jeżeli skrypt startujący nie znajdzie jakiegoś pliku(bloku) który ma zapisany w kolejce to wywala błąd i ładuje standardowe reguły (np. wszystko zamknięte i otwarty tylko port ssh)
Rozwiązanie ma według mnie jedną ogromną zaletę: jeżeli dodajemy jakąś zewnętrzną paczkę to zmiana firewalla jest dziecinnie prosta. Wrzucamy plik z regułami do /etc/iptables/rules/ (np. /etc/iptables/rules/stats) i wskazujemy mu miejsce w kolejce np. po regułach wycinających p2p. To opiekun paczki musi się zatroszczyć żeby odpowiedni blok reguł znalazł się tam gdzie trzeba (czy zrobi konfigurator czy da instrukcje jak plik z regułami dodać i gdzie to jego sprawa).
Wada(?): Admin ma bezpośredni dostęp do reguł w /etc/iptables/rules/ (niedoświadczony admin może nieźle napsuć jak zacznie ręcznie edytować
)
Nie piszę nic w bashu więc nie wiem jaki jest stopień wykonywalności tego pomysłu. W php napiszę od ręki.
Mam nadzieję że pomysł się spodoba i znajdzie się ktoś kto go rozwinie i zaimplementuje.
