make sure syncookies are enabled

use PVE::ProcFSTools::write_proc_entry instead of system("echo ...")

cleanup ruleset_generate_rule()

improve clean target

delete emacs tmp files in all subdirs

remove stale file

merge IN/OUT section into RULES section

assemble debian package

implement log_level_in and log_level_out options

implement log level options

use a file to store firewall status persistently.

Start/stop saves state into a file. So the firewall remembers that status
even if the host is rebooted.

Also added helpers to update firewall rules and get current status.

ignoreZ source/destination port if no protocol specified

use defined() to check fot undefined value

improve multiport rule generator

It is not allowed to use --sports and --dports together!

fix Ping macro

improve example

allow to disable single rules, and add ability to add comments

add 'dhcp' option (enabled by default)

use PVEFW-reject instead of REJECT

accept traffic to unmanaged bridge ports

correctly apply macros

Allow to set additional parameters if they do not conflict with macros settings.

implement nosmurfs options (enabled by default)

implement option 'tcpflags' to log illegal combinations of TCP flags

make mac address filtering optional (default enabled)

use chains from previous commit to reduce logging

add some useful chains

Those chains implement basically the same rules as related shorewall action.

add a way to define some default chains

fix multiport rules and add icmp type names

Multiport module needs --dports/--sports (instead of --dport/--sport).
Also, a single port Range does not require --multiport.

Also added the ability to use icmp type name as 'dport' when proto is icmp.

cleanups

always use PVEFW-SET-ACCEPT-MARK for OUT chain

That way we can re-use chains for the host firewall.

bridge rules : -j ACCEPT for physical interfaces

We need to accept traffic at the end of bridge rules for outgoing packets from tap->ethX,
as we don't do ACCEPT in tap-out rules.

IN=vmbr0 OUT=vmbr0 PHYSIN=tap110i0 PHYSOUT=eth0

-A PVEFW-FORWARD -o vmbr0 -m physdev --physdev-is-bridged -j vmbr0-FW
-A PVEFW-FORWARD -i vmbr0 -m physdev --physdev-is-bridged -j vmbr0-FW

-A vmbr0-FW -m physdev --physdev-is-in --physdev-is-bridged -j vmbr0-OUT
-A vmbr0-FW -m physdev --physdev-is-out --physdev-is-bridged -j vmbr0-IN
-A vmbr0-FW -j ACCEPT

-A PVEFW-FORWARD -o vmbr0 -j DROP
-A PVEFW-FORWARD -i vmbr0 -j DROP

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

use RETURN instead ACCEPT for tap-out rules

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

implement VM policy option

implement 'enable' option

And pass whole VM firewall config to generate_tap_rules_direction. That way we
have acces to {options} section.

compile: use verbose output when started from CLI

rename chain $bridge to $bridge-FW

and fix the activation bug.

optimize bridge chains

fixme : I have this error "unable to update chain vmbrX".

But if I remove this check, the rules applying fine.

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

parse_port_name_number_or_range fix range check

for port range  a:b,

we need to check that b > a

this kind of range is invalid

80:22
80:ssh
http:ssh

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

do not delete PVEFW-INPUT, PVEFW-OUTPUT and PVEFW-FORWARD chain.

implement simple option parser

use conntrack instead of state

-m state --state is deprecated

allow traffic from lo (PVEFW-INPUT)

define more macros (converted most shorewall macros)

use $rule->{dest} instead of $rule->{destination}

implement macros

only use --mark for OUT chain

jump to ACCEPT for IN rules

improve parser

Also avoid that we read the group file multiple times.
group file does not need to specify interfaces.

use accept mark for security groups

correctly remove stale chains

pass $ruleset instead of $rule

check chain name length (max 28 chars)

use --comment to store SHA1 signature

split compile from apply

And renamed compile_and_start into apply_ruleset.

avoid perl warning

enable proc/sys/net/bridge/bridge-nf-call-iptables

add MAC filter

cleanup chain names

Try to use PVEFW prefix. I do not add that prefix to chains containing device names,
because chain name lenght is limiteZd.

test if BRIDGEFW-OUT and BRIDGEFW-IN exist

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

simplify firewall and use MD5 hash to detect changes

consider host-IN/OUT chains in iptables_get_chains

consider security group chains in iptables_get_chains

implement stop command using new iptables_get_chains

experimental code to read existing chains and compute SHA1 checksum

fix iptables-restore - correctly add newline after COMMIT

Also print $cmdlist on error. Just for debugging.

remove shorewall rule compiler

use input parameter to feed iptables-restore

implement locking

remove shorewall specific commands

add support for security groups

pvefw disablegroup -securitygroup <string> [OPTIONS]
pvefw enablegroup -securitygroup <string> [OPTIONS]

(pool permissions is not yet implemented)

/etc/pve/firewall/groups.fw

[IN:group1]

ACCEPT - - - tcp 22 -
ACCEPT - - - icmp - -

[OUT:group1]

ACCEPT - - - tcp 80 -
ACCEPT - - - icmp - -

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

rename ./pvefw enabletaprules -> ./pvefw enablevmfw

by default we enable rules for all the vm net interfaces

./pvefw disablevmfw -vmid 110 [-netid net0]
./pvefw enablevmfw -vmid 110 [-netid net0]

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

host firewall support

defaults rules:

/etc/pve/local/host.fw

[IN]

ACCEPT - - - tcp 24007 -   #glusterfs
ACCEPT - - - icmp - -
ACCEPT - - - tcp 22 -
ACCEPT - - - tcp 8006 - #pveproxy
ACCEPT - - - tcp 3128 -  #spiceproxy
ACCEPT - - - tcp 6789 -  #ceph mon
ACCEPT - - - tcp 5900:5910 - #vnc consoles
ACCEPT - - - udp 53 -

[OUT]

ACCEPT - - - icmp - -
ACCEPT - - - tcp 24007 - #glusterfs
ACCEPT - - - tcp 6789 - #ceph mon
ACCEPT - - - tcp 22 -
ACCEPT - - - udp 53 -

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

add src and destination range

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

add support for multiport

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

basic bridge iptables implementation

./pvefw enabletaprules -netid net0 -vmid 110

./pvefw disabletaprules -netid net0 -vmid 110

sample firewall config file
---------------------------

[IN]

ACCEPT net0 - - tcp 22 -
ACCEPT net0 - - icmp - -
GROUP-securityname1 net0 - - - - -  #apply security group rules
GROUP-securityname2 net0 - - icmp - -  #apply security group rules on icmp only
[OUT]

ACCEPT net0 - - icmp - -
ACCEPT net0 - - tcp 80 -
GROUP-securityname2 net0 - - - - -  #apply security group rules

Signed-off-by: Alexandre Derumier <aderumier@odiso.com>

Clarify zone names

It transforms zones files like this:
#ZONE                          TYPE       OPTIONS
$FW                            firewall
$ZVMBR0                        ipv4
$ZVMBR0EXT:$ZVMBR0             bport
$ZVMBR0VM100:$ZVMBR0          bport
$ZVMBR0VM101:$ZVMBR0          bport

into this:
#ZONE                          TYPE       OPTIONS
$FW                            firewall
$VMBR0                         ipv4
$VMBR0_EXT:$VMBR0              bport
$VMBR0_VM100:$VMBR0            bport
$VMBR0_VM101:$VMBR0            bport

Signed-off-by: Michel Loiseleur <michel@loiseleur.com>

parse protocols and ports

parse source and destination address lists

implement workaround for inbound rules with source IP

describe the problem

add more docu

improve docu

cleanups

better documentation

use 'all' instead of 'any'

Internally, use undef

use extra zone for physical devices

use shell variables for zones

add comments to generated rules file

read in shorewall macros

rename firewall setup script to 'pvefw'

use real vm configs, and write to /etc/shorewall

generate maclist

add original zone names as comments

compile simple rules

code cleanup

write real files

And use short zone names

generate example zone and interfaces file

start example code

add config dir to store firewall configuration examples

add README