use RETURN instead ACCEPT for tap-out rules

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

implement VM policy option

implement 'enable' option

And pass whole VM firewall config to generate_tap_rules_direction. That way we
have acces to {options} section.

compile: use verbose output when started from CLI

rename chain $bridge to $bridge-FW

and fix the activation bug.

optimize bridge chains

fixme : I have this error "unable to update chain vmbrX".

But if I remove this check, the rules applying fine.

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

parse_port_name_number_or_range fix range check

for port range  a:b,

we need to check that b > a

this kind of range is invalid

80:22
80:ssh
http:ssh

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

do not delete PVEFW-INPUT, PVEFW-OUTPUT and PVEFW-FORWARD chain.

implement simple option parser

use conntrack instead of state

-m state --state is deprecated

allow traffic from lo (PVEFW-INPUT)

define more macros (converted most shorewall macros)

use $rule->{dest} instead of $rule->{destination}

implement macros

only use --mark for OUT chain

jump to ACCEPT for IN rules

improve parser

Also avoid that we read the group file multiple times.
group file does not need to specify interfaces.

use accept mark for security groups

correctly remove stale chains

pass $ruleset instead of $rule

check chain name length (max 28 chars)

use --comment to store SHA1 signature

split compile from apply

And renamed compile_and_start into apply_ruleset.

avoid perl warning

enable proc/sys/net/bridge/bridge-nf-call-iptables

add MAC filter

cleanup chain names

Try to use PVEFW prefix. I do not add that prefix to chains containing device names,
because chain name lenght is limiteZd.

test if BRIDGEFW-OUT and BRIDGEFW-IN exist

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

simplify firewall and use MD5 hash to detect changes

consider host-IN/OUT chains in iptables_get_chains

consider security group chains in iptables_get_chains

implement stop command using new iptables_get_chains

experimental code to read existing chains and compute SHA1 checksum

fix iptables-restore - correctly add newline after COMMIT

Also print $cmdlist on error. Just for debugging.

remove shorewall rule compiler

use input parameter to feed iptables-restore

implement locking

remove shorewall specific commands

add support for security groups

pvefw disablegroup -securitygroup <string> [OPTIONS]
pvefw enablegroup -securitygroup <string> [OPTIONS]

(pool permissions is not yet implemented)

/etc/pve/firewall/groups.fw

[IN:group1]

ACCEPT - - - tcp 22 -
ACCEPT - - - icmp - -

[OUT:group1]

ACCEPT - - - tcp 80 -
ACCEPT - - - icmp - -

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

rename ./pvefw enabletaprules -> ./pvefw enablevmfw

by default we enable rules for all the vm net interfaces

./pvefw disablevmfw -vmid 110 [-netid net0]
./pvefw enablevmfw -vmid 110 [-netid net0]

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

host firewall support

defaults rules:

/etc/pve/local/host.fw

[IN]

ACCEPT - - - tcp 24007 -   #glusterfs
ACCEPT - - - icmp - -
ACCEPT - - - tcp 22 -
ACCEPT - - - tcp 8006 - #pveproxy
ACCEPT - - - tcp 3128 -  #spiceproxy
ACCEPT - - - tcp 6789 -  #ceph mon
ACCEPT - - - tcp 5900:5910 - #vnc consoles
ACCEPT - - - udp 53 -

[OUT]

ACCEPT - - - icmp - -
ACCEPT - - - tcp 24007 - #glusterfs
ACCEPT - - - tcp 6789 - #ceph mon
ACCEPT - - - tcp 22 -
ACCEPT - - - udp 53 -

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

add src and destination range

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

add support for multiport

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

basic bridge iptables implementation

./pvefw enabletaprules -netid net0 -vmid 110

./pvefw disabletaprules -netid net0 -vmid 110

sample firewall config file
---------------------------

[IN]

ACCEPT net0 - - tcp 22 -
ACCEPT net0 - - icmp - -
GROUP-securityname1 net0 - - - - -  #apply security group rules
GROUP-securityname2 net0 - - icmp - -  #apply security group rules on icmp only
[OUT]

ACCEPT net0 - - icmp - -
ACCEPT net0 - - tcp 80 -
GROUP-securityname2 net0 - - - - -  #apply security group rules

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

Clarify zone names

It transforms zones files like this:
#ZONE                          TYPE       OPTIONS
$FW                            firewall
$ZVMBR0                        ipv4
$ZVMBR0EXT:$ZVMBR0             bport
$ZVMBR0VM100:$ZVMBR0          bport
$ZVMBR0VM101:$ZVMBR0          bport

into this:
#ZONE                          TYPE       OPTIONS
$FW                            firewall
$VMBR0                         ipv4
$VMBR0_EXT:$VMBR0              bport
$VMBR0_VM100:$VMBR0            bport
$VMBR0_VM101:$VMBR0            bport

Signed-off-by: Michel Loiseleur <michel@loiseleur.com>

parse protocols and ports

parse source and destination address lists

implement workaround for inbound rules with source IP

describe the problem

add more docu

improve docu

cleanups

better documentation

use 'all' instead of 'any'

Internally, use undef

use extra zone for physical devices

use shell variables for zones

add comments to generated rules file

read in shorewall macros

rename firewall setup script to 'pvefw'

use real vm configs, and write to /etc/shorewall

generate maclist

add original zone names as comments

compile simple rules

code cleanup

write real files

And use short zone names

generate example zone and interfaces file

start example code

add config dir to store firewall configuration examples

add README