add better inline documentation

bump version to 2.0-11

iptables_get_chains: fix veth device name

bump version to 2.0-10

subroutine for cloning vm's firewall config file

bump version to 2.0-9

firewall remove config file subroutine added

Signed-off-by: Alen Grizonic <a.grizonic@proxmox.com>

bump version to 2.0-8

adopt regresion tests for lxc containers

Removed OpenVZ venet code.

removed firewall code for openVZ

[PATCH 2/2] changed to [PATCH] with the following fix:

Subroutine verify_rule (re)fixed to correctly check only for "net\d+" interface device names

bump version to 2.0-7

added firewall code for lxc

Signed-off-by: Alen Grizonic <a.grizonic@proxmox.com>

bump version to 2.0-6

firewall ipversion comparison fix

Signed-off-by: Alen Grizonic <a.grizonic@proxmox.com>

local_network: ipv6 support + correctness

Net::IP->overlaps returns more than just true or false, as
it tests both directions, we need IP_B_IN_A_OVERLAP in our
test.
Removed return on mask eq '0.0.0.0' as this doesn't exist in
the $ipv4_mask_hash_localnet.

fix ipv6 address normalization

inet_ntop only takes an addres, not a CIDR notation. Since
the normalized address should just be a compressed
lower-case address, Net::IP::ip_compress_address should be
sufficient.

inet_ntop didn't succeed before, the result of which was
that ipsets weren't generated at all for ipv6 address ranges.

bump version to 2.0-5

ipv6 neighbor discovery and solicitation macros

Add ipv6 macros to the macro list

Additionally there's now a way to specify ipv6-only or
ipv4-only macros.

ip6tables accepts both spellings of the word neighbor

firewall - Ceph macro added

Signed-off-by: Alen Grizonic <a.grizonic@proxmox.com>

fix path for DOCDIR

bump version to 2.0-4

correctly install manual pages

fix lintian warning command-with-path-in-maintainer-script

firewall instant API call apply

firewall_module_duplicate

removed duplicated line of Data::Dumper use

Signed-off-by: Alen Grizonic <a.grizonic@proxmox.com>

firewall autodisable

firewall enable parameter type changed from boolean to integer so it can store
the timestamp of the firewall enable call to avoid an admin remote lockout

Signed-off-by: Alen Grizonic <a.grizonic@proxmox.com>

bump version to 2.0-3

use noawait trigers for pve-api-updates

bump version to 2.0-2

trigger pve-api-updates event

allow admins to delete security groups

always use local_network alias if specified by user

correctly emit ipv6 rules for host firewall

add PIDFile option for systemd services

install systemd service files

implement permission for Alias class.

do not use triggers

This make problem on jessie, complaining about cyclic dependency loop.

fix path to ipset binary

remove cman dependency

depending on pve-cluster should be enough.

recompile for debian jessie, bump version to 2.0-1

bump version to 1.0-18

fix alias lookup

bump version to 1.0-17

add preinst script

Older versions of the pve-firewall daemon do not restart
with HUP, so we need to do a stop/start.

fix call to register_restart_command (set $use_hup to true)

remove class paramenter from register_XXX_command

simplify code (error log is done inside Daemon.pm)

improve logging

fix arguments for register_restart_command

bump version to 1.0-16

use Daemon class from pve-common

bump version to 1.0-15

firewall update : load cluster conf for host rules

Currently we can't use ipsets defined in cluster in host rules

host.fw
----------
[OPTIONS]

log_level_in: debug
enable: 1
tcp_flags_log_level: debug
log_level_out: debug
tcpflags: 1
smurf_log_level: debug

[RULES]

IN ACCEPT -source +whitelist

in sub update {
my $hostfw_conf = load_hostfw_conf();
}

$VAR1 = {
          'options' => {
                         'enable' => 1,
                         'log_level_in' => 'debug',
                         'tcp_flags_log_level' => 'debug',
                         'log_level_out' => 'debug',
                         'tcpflags' => 1,
                         'smurf_log_level' => 'debug'
                       },
          'ipset' => {},
          'rules' => [
                       {
                         'source' => '+whitelist',
                         'enable' => 1,
                         'errors' => {
                                       'source' => 'no such ipset \'whitelist\''
                                     },
                         'action' => 'ACCEPT',
                         'type' => 'in'
                       }
                     ]
        };

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

bump version to 1.0-14

do not use ipset list chains

Instead, we directly use -v4 and -v6 names inside iptables rules.

So we can safely remove the preinst script.

bump version to 1.0-13

fix ipset remove order

add debian/dirs file to install /var/lib/pve-firewall

bump version to 1.0-12

add preinst script

We need to clear ipset from older installation, because sets cannot be
swapped if there type does not match.

bump version to 1.0-11

verify_rule: correctly set ipversion for aliases

save restore commands into files (debug help)

To make it easier to debug restore errors.

bump version to 1.0-10

pve-firewall compile: improve output format

API2::Firewall::IPSet: fix alias check for ipv6 addresses

get_ipset_cmdlist: avoid restore problems due to wrong order

improve error messages

do not emit smurfs chain for ipv6

ipv6 addrtype does not work with kernel 2.6.32, use -d ff00::/8 instead

add ipv6 examples

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

ip6tables : remove_pvefw_chains

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

apply ipv6 ruleset

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

compile ipv6 ruleset

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

add ip6tables standard chains

- icmp types in reject are different than ipv4
- broadcast not exist in ipv6
- I don't think that smurf attack exist (no broadcast)

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

add icmpv6 support

skip icmpv6 rule for iptables rules
skip icmp rule for ip6tables rules

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>
Signed-off-by: Dietmar Maurer <dietmar@proxmox.com>

add ipv6 ipset support

big change here,
we create now a ipset which include 2 others ipsets for ipv4 and ipv6

PVEFW-0-blacklist list:set
    PVEFW-0-blacklist-v4 hash:net family inet4
    PVEFW-0-blacklist-v6 hash:net family inet6

v4 and v6, are only created if ip address are defined in the set
in iptables rules, we use the main set.

Benchmark show no performance impact

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>
Signed-off-by: Dietmar Maurer <dietmar@proxmox.com>

ipset_match: implement simulation of list type ipsets

resolve_alias: use better regex to detect alias

code cleanup

check ipversion of aliases

also add support for ipv6

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

skip group rules generation if rule ipversion don't match iptables version

we skip ipv6 rules for iptables
we skip ipv4 rules for ip6tables

if rule ipversion is undef, we apply to both iptables and ip6tables

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

use integer compare for $ipversion

enable hostfw for ipv4 only

currently pveproxy don't works with ipv6,
so let's generate host fw ipv4 only for the moment

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

fix venet rule generation: venet can have ipv4 and ipv6 address

$ipversion is interger, so use '!=' instead of string 'ne'

skip vms rules generation if rule ipversion don't match iptables version

we skip ipv6 rules for iptables
we skip ipv4 rules for ip6tables

if rule ipversion is undef, we apply to both iptables and ip6tables

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

verify_rule: detected mixed ipv4/ipv6 addresses

parse_address_list: improve type detection

parse_address_list: make sure we only have one type of addresses (ipv4 or ipv6)

fix error message

rename pve-fw-v4addr-spec to pve-fw-addr-spec

Because we allow ipv4 and ipv6 addresses now.

parse_rules src && dst ipversion

check the ipversion of src and dst in rules

(fixme : parse ip in range)

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

cleanup generate_std_chains: don't overwrite global variable $pve_std_chains

Instead, pass $ipversion and use local var $std_chains.

move $pve_std_chains to $pve_std_chains->{$ipversion}

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

split compile to compile_iptables_filter

compile just read configs file and will call compile_iptables_filter for iptables and ip6tables

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

bump version to 1.0-9

fix max ipset name lenght