parse_address_list: improve type detection

parse_address_list: make sure we only have one type of addresses (ipv4 or ipv6)

fix error message

rename pve-fw-v4addr-spec to pve-fw-addr-spec

Because we allow ipv4 and ipv6 addresses now.

parse_rules src && dst ipversion

check the ipversion of src and dst in rules

(fixme : parse ip in range)

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

cleanup generate_std_chains: don't overwrite global variable $pve_std_chains

Instead, pass $ipversion and use local var $std_chains.

move $pve_std_chains to $pve_std_chains->{$ipversion}

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

split compile to compile_iptables_filter

compile just read configs file and will call compile_iptables_filter for iptables and ip6tables

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

bump version to 1.0-9

fix max ipset name lenght

make dependency to cman/clvm optional

do not start daemons during installation

bump version to 1.0-8

Firewall/IPSet: implement permission

Facor out common code into PVE/Firewall.

Firewall/Rules: add permissions

Firewall/Groups: add permissions

Firewall/VM: add permissions

Firewall/Host: add permissions

Firewall/Cluster: add permissions

generate MAC and IP filter rules if firewall is enabled on NIC

Only omit rules if firewall is disabled. Also remove ipfilter for
venet, because that is not required (kernel does that job for us).

bump version to 1.0-7

proxy host rule API calls to correct node

bump version to 1.0-6

add example for ipfilter ipset

add regression tests for ipfilter

fwtester: add more network (net1, net2) to vm100 to test ipfilter

implement negative ipset match

To simulate ipfilter.

use separate ipfilter ipset on each interface

add support for ipfilter ipset

generate /etc/pve/firewall directory automatically

avoid errors about undefined values

bump version to 1.0-5

remove ipsets when firewall disabled

And improve status output

return empty ruleset if firewall disabled in cluster.fw

bump version to 1.0-4

depend on iptables and ipset

change dh_installinit order

improve error message

generate warnings when we read the configuration file

pass ipset errors to GUI

skip non-existent aliases inside ipset configuration

remove dead code from previous commit

code cleanup - introcduce new method resolve_alias

another regression test

cleanup: try to use more consistent method naming

API: add ability to restrict ref list to specified type

API fix: allow aliases in IPSets

parser: verify group and ipset names

implement API to get list of possible refs (aliases + ipsets)

introduce ipset_name_pattern to avoid confusion

limit alias/ipset name length to 64 characters

add test for long ipset names

fix ipset match - s/src/dst/

implement VM ipsets, allow long ipset names

If names are to long, We simply use the FNV digest instead of the name.

always pass cluster_conf to load_vmfw_conf

implement ipsets for VM/CT

do not print trace when debug is not set

white space cleanup

implement aliases at VM level

add test for aliases inside vm firewall configuration

fwtester.pl: add warnings to trace

optimize blacklist : create a PVEFW-blacklist chain

currently we check the ipset blacklist twice (1 for log and 1 for drop)

It's better to check ipset once, and go to a PVEFW-blacklist chain
where we do the log, and then the drop

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

fix comment

skip diabled rules and rules with errors early

ruleset_generate_vm_rules: skip rules with errors

improve rule verification

Also verify ipset/aliases.

pass $rule_env (cluster/host/vm/ct) to rule parser.

So that we can correctly verify 'iface' parameter.

Also add new API classes for CTs (because we need to pass $rule_env).

improve error handling

We now show syntax errors from firewall files with:

 # pve-firewall status

But we do not log such errors to syslog, because that would result
in same warning on each update (10 seconds).

allow to read rule with errors

And return error messages inside $rule->{errors}. The GUI can display
those errors so that the user can correct them.

close inotify handle before restart

improve rules API

Do not use JSON schema 'requires' property, because that forbids to
use '' to delete properties.

It is now possible to update/delete individual rule properties like:

  pvesh set nodes/lola/openvz/104/firewall/rules/0 -proto udp
  pvesh set nodes/lola/openvz/104/firewall/rules/1 -delete dport

fix API: property sport/dport requires protocol

fix test/test-errors3 - protect rule generation with eval

add new test case to show serious bug

allow igmp traffic

add another test case

fix for test case test/test-errors1

add test case to show serious bug

use GET instead of POST for command that do not change state.

add new localnet command

Print information about local network (IP/NETWORK/NODENAME).

rename cluster_network to local_network, introduce local_network alias

So that the user can overwrite it.

add tests for management ipset

Introduce new management ipset

The uses can setup a 'management' IPSet to make sure he has access to the GUI
from those IPs.

do not use ctstate in corosync rule

That is not necessary, because we only reach that rule if ctstate is NEW.

start alias support for VMs

implement config parser/writer and API. iptables functionatity is missing.

improve documentation

do not log simulate warnings to syslog

add simulate command for easy testing

move test code to FirewallSimulator.pm

add tests for corosync multicast addrtype rules

do not enable VM firewall by default

Else we get different behavior with empty vs. non-existinf <VMID>.fw

add tests for default rules

fwtester: set cluster network to 172.16.1.0/24, host_ip to 172.16.1.2

So that we can add test for default rules

allow tests without cluster.fw and host.fw configuration

also allow VNC and SPICE traffic inside cluster_network

do not use -s for outgoing corosync rules

implement setter for cluster_network

So that we can set values for testing.

fix regression test for previous commits

use $accept_action for standard rules

add standard rules after user rules

Ao that the users can overwrite behavior.