Updatefeste, nutzerkonfigurierbare nftables config #314

New Issue

fbl · 2024-02-29T20:48:55+01:00

fbl commented

2024-02-29 20:48:55 +01:00

Wird ein Freifunk-Router für das Heimnetz verwendet, möchte man dafür häufig eine Firewall konfigurieren. Mit #284 ist es nun möglich für das Client-Interface eine stateful Firewall zu aktivieren. Dann kann allerdings kein einziges Gerät mehr von außen erreicht werden.

Die einfachste Variante eine sehr flexible Firewall für den Nutzer zu ermöglichen wäre eine updatefeste Datei, die nftables Regeln enthält und automatisch geladen wird. Bei updates auf ggf. geänderte Interfacenamen oder Portkonfigurationen etc. zu achten wäre dann Aufgabe des Nutzers. Dies sollte dann in der Datei auch entsprechend deutlich kommentiert sein. Die Entwickler sollte bei derartigen Änderungen einen deutlichen Hinweis in die Changelogs schreiben.

Wird ein Freifunk-Router für das Heimnetz verwendet, möchte man dafür häufig eine Firewall konfigurieren. Mit #284 ist es nun möglich für das Client-Interface eine stateful Firewall zu aktivieren. Dann kann allerdings kein einziges Gerät mehr von außen erreicht werden. Die einfachste Variante eine sehr flexible Firewall für den Nutzer zu ermöglichen wäre eine updatefeste Datei, die nftables Regeln enthält und automatisch geladen wird. Bei updates auf ggf. geänderte Interfacenamen oder Portkonfigurationen etc. zu achten wäre dann Aufgabe des Nutzers. Dies sollte dann in der Datei auch entsprechend deutlich kommentiert sein. Die Entwickler sollte bei derartigen Änderungen einen deutlichen Hinweis in die Changelogs schreiben.

fbl added this to the next-feature milestone 2024-02-29 20:48:55 +01:00

fbl added the

feature

layer3

labels 2024-02-29 20:48:55 +01:00

jkimmel commented

2024-02-29 20:59:36 +01:00

So als Notiz, mit

ip6 daddr & ::ffff:ffff:ffff:ffff == { 
    ::hostanteil1,
    ::hostanteil2,
    ...
} accept

lassen sich unabhängig vom prefix hosts freigeben.

So als Notiz, mit ```nftables ip6 daddr & ::ffff:ffff:ffff:ffff == { ::hostanteil1, ::hostanteil2, ... } accept ``` lassen sich unabhängig vom prefix hosts freigeben.

👍 1

jkimmel closed this issue

2024-02-29 20:59:36 +01:00

jkimmel reopened this issue

2024-02-29 20:59:38 +01:00

fbl commented

2024-02-29 21:52:29 +01:00

Langfristig könnte man auch noch mal überlegen ob man einfache portfreigaben über gateway-config und webui zugänglich macht. Aber so wie oben beschrieben wäre es halt maximal flexibel mit überschaubarem Aufwand für den Nutzer beim Update.

fbl referenced a pull request that will close this issue

2024-03-11 22:11:45 +01:00

fff-firewall: add user-customizable nftables hook #317

fbl referenced this issue from a commit

2024-03-21 21:58:04 +01:00

fff-firewall: add user-customizable nftables hook

fbl closed this issue

2024-03-21 21:58:04 +01:00

Sign in to join this conversation.