introduce ipset_name_pattern to avoid confusion

limit alias/ipset name length to 64 characters

add test for long ipset names

fix ipset match - s/src/dst/

implement VM ipsets, allow long ipset names

If names are to long, We simply use the FNV digest instead of the name.

always pass cluster_conf to load_vmfw_conf

implement ipsets for VM/CT

do not print trace when debug is not set

white space cleanup

implement aliases at VM level

add test for aliases inside vm firewall configuration

fwtester.pl: add warnings to trace

optimize blacklist : create a PVEFW-blacklist chain

currently we check the ipset blacklist twice (1 for log and 1 for drop)

It's better to check ipset once, and go to a PVEFW-blacklist chain
where we do the log, and then the drop

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

fix comment

skip diabled rules and rules with errors early

ruleset_generate_vm_rules: skip rules with errors

improve rule verification

Also verify ipset/aliases.

pass $rule_env (cluster/host/vm/ct) to rule parser.

So that we can correctly verify 'iface' parameter.

Also add new API classes for CTs (because we need to pass $rule_env).

improve error handling

We now show syntax errors from firewall files with:

 # pve-firewall status

But we do not log such errors to syslog, because that would result
in same warning on each update (10 seconds).

allow to read rule with errors

And return error messages inside $rule->{errors}. The GUI can display
those errors so that the user can correct them.

close inotify handle before restart

improve rules API

Do not use JSON schema 'requires' property, because that forbids to
use '' to delete properties.

It is now possible to update/delete individual rule properties like:

  pvesh set nodes/lola/openvz/104/firewall/rules/0 -proto udp
  pvesh set nodes/lola/openvz/104/firewall/rules/1 -delete dport

fix API: property sport/dport requires protocol

fix test/test-errors3 - protect rule generation with eval

add new test case to show serious bug

allow igmp traffic

add another test case

fix for test case test/test-errors1

add test case to show serious bug

use GET instead of POST for command that do not change state.

add new localnet command

Print information about local network (IP/NETWORK/NODENAME).

rename cluster_network to local_network, introduce local_network alias

So that the user can overwrite it.

add tests for management ipset

Introduce new management ipset

The uses can setup a 'management' IPSet to make sure he has access to the GUI
from those IPs.

do not use ctstate in corosync rule

That is not necessary, because we only reach that rule if ctstate is NEW.

start alias support for VMs

implement config parser/writer and API. iptables functionatity is missing.

improve documentation

do not log simulate warnings to syslog

add simulate command for easy testing

move test code to FirewallSimulator.pm

add tests for corosync multicast addrtype rules

do not enable VM firewall by default

Else we get different behavior with empty vs. non-existinf <VMID>.fw

add tests for default rules

fwtester: set cluster network to 172.16.1.0/24, host_ip to 172.16.1.2

So that we can add test for default rules

allow tests without cluster.fw and host.fw configuration

also allow VNC and SPICE traffic inside cluster_network

do not use -s for outgoing corosync rules

implement setter for cluster_network

So that we can set values for testing.

fix regression test for previous commits

use $accept_action for standard rules

add standard rules after user rules

Ao that the users can overwrite behavior.

fix corosync rules (restrict to cluster network)

remove wrong corosync rules using port 9000

allow API/SSH/SPICE/VNC traffic on local cluster network by default

remove unused options

add init function

do not restart pvefw-logger with debian triggers

That is not necessary.

avoid logs by default

Log files can grow really large, so we want to avoid them by default.

remove unused parameters

birectionnal macros cleanups

remove reverse direction rules

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

change rule format: use named parameters

include manual page

cleanup firewall service implementation

We now run a separate server called 'pve-firewall' (renamed 'pvefw').
So service and management tool use the same name:

 # service pve-firewall start

is the same as

 # pve-firewall start

Also removed the read_pvefw_status/save_pvefw_status code.

bypass PVEFW-VENET-IN|OUT for unfirewalled venet0 ips

we create an ipset PVEFW-venet0 for firewalled venet0 ips,
and only send this matching ips to PVEFW-VENET-IN|OUT

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

do not abort if security groups does not exists

Simply create an empty chain instead.

add ipset regression tests

fwtester: implement ipset testing

fix blacklist example

add tests for unconfigured firewall (empty files)

add group tests for container

fix security groups for VMs

And add resgression tests for those fixes.

add security group tests

fwtester: add ability to run tests on several zones

correctly emit group rules for host

fwtester: improve rule_match

Use Net::IP to test source/dest.

correctly use dest instead of source

allow GROUP rule without iface

fwtester: set firewall=1 for test VM interfaces

only add tap rules for interface with firewall=1

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

fwtester: simplify code with ne bport zone

improve error messages

fwtester: add new zone 'nfwm' to simulate a non-firewalled VM

fwtester: do not count ENTER/LEAVE

add README for fwtester.pl

fix interface in rules for host-in and host-out

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

add tests for host interface match

fwtester: support dev regex with -i and -o

fwtester: fix emulation - correctly set phydev_in

fwtester: add counters for debugging

fwtester: do not set packet default values

move blacklist inside ruleset_chain_add_input_filters

make sense to only add it for IN direction and

like this, non-firewalled vms (tap|veth for now, not matching fwln+) will never check the blacklist rule

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

remove optimize option

new model is already optimized, no need to have tricks now

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

fwtester: implement some useful command line option

fwtester: implement new 'outside' zone

To simulate traffic from/to outside world (vmbr0/eth0)

fwtester: improve kernel simulation

delete trailing whitespace cleanup

allow multiple spaces in venet0 ip list

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

rename link+ to fwln+

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

bugfix : allow multiples venet0 ip in 1 container

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

insert PVEFW-IPS after vm rules generation v2

or it never match it

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>