IPFire 2.29 Core Update 201 är här med en av projektets största nyheter hittills: en inbyggd DNS-brandvägg. Den nya funktionen stoppar skadliga domäner, nätfiske, reklam och annat oönskat innehåll redan innan enheterna i nätverket hinner ansluta till dem. Samtidigt förbättras intrångsskyddet, systemets grundkomponenter uppdateras och flera paket får nya versioner, vilket gör IPFire till ett ännu starkare alternativ för den som vill bygga ett säkert och flexibelt nätverk.
IPFire 2.29 Core Update 201 är här med en av projektets största nyheter hittills: en inbyggd DNS-brandvägg. Den nya funktionen stoppar skadliga domäner, nätfiske, reklam och annat oönskat innehåll redan innan enheterna i nätverket hinner ansluta till dem. Samtidigt förbättras intrångsskyddet, systemets grundkomponenter uppdateras och flera paket får nya versioner, vilket gör IPFire till ett ännu starkare alternativ för den som vill bygga ett säkert och flexibelt nätverk.
Från grindvakt till aktiv hotjägare
En vanlig brandvägg fungerar ofta som en grindvakt. Den kontrollerar vilken trafik som får passera in och ut ur nätverket. Men IPFires nya DNS-brandvägg går ett steg längre. Den försöker stoppa skadliga webbplatser, nätfiske, reklamdomäner och annat oönskat innehåll innan datorn, mobilen eller servern ens försöker ansluta.
Det sker genom DNS, alltså systemet som översätter domännamn som example.com till IP-adresser. När en enhet på nätverket frågar efter en domän går frågan via IPFires DNS-proxy. Där jämförs domänen mot IPFire DBL, projektets egen kontinuerligt uppdaterade spärrlista över skadliga eller oönskade domäner.
Om domänen finns på listan får klienten svaret att domänen inte existerar. Resultatet blir att ingen anslutning görs, inget innehåll hämtas och hotet stoppas mycket tidigt i kedjan.
Ett alternativ till Pi-hole och gamla URL-filter
Många nätverksintresserade har länge använt lösningar som Pi-hole för att blockera reklam, spårning och skadliga domäner. Andra har använt traditionella URL-filter i brandväggen. Problemet är att de äldre lösningarna ofta kräver extra konfiguration, ytterligare en maskin eller fungerar sämre i dagens webblandskap där nästan all trafik är krypterad.
IPFires DNS-brandvägg är tänkt att ersätta båda dessa upplägg. Eftersom DNS-trafiken redan passerar brandväggen kan filtreringen ske centralt. Det betyder att telefoner, datorer, surfplattor och IoT-prylar kan skyddas utan att varje enskild enhet måste konfigureras manuellt.
Uppdaterade spärrlistor varje timme
En viktig teknisk nyhet är hur spärrlistorna uppdateras. IPFire använder inkrementella DNS-zonöverföringar, så kallad IXFR, för att föra in uppdateringar direkt i DNS-proxyn. Det innebär att listorna kan hållas färska med liten bandbreddsanvändning.
I praktiken betyder det att nya hot kan blockeras snabbare, samtidigt som systemet inte behöver ladda ner stora listor om och om igen.
Förbättrat intrångsskydd
Utöver DNS-brandväggen har IPFire också förbättrat sitt Intrusion Prevention System, IPS. Det är nu möjligt att ange olika mottagare för dagliga, veckovisa och månatliga IDS-rapporter.
Det kan vara särskilt användbart i organisationer där olika personer ansvarar för olika typer av säkerhetsuppföljning. En tekniker kanske vill se dagliga varningar, medan en chef eller säkerhetsansvarig bara behöver en sammanfattning varje vecka eller månad.
Modernare grundsystem
Core Update 201 innehåller också en större uppdatering av byggkedjan, alltså de grundläggande verktyg som används för att bygga hela systemet. IPFire har uppdaterats till bland annat GNU C Library 2.43, GNU binutils 2.46.0, OpenSSL 3.6.1, OpenVPN 2.6.19, BIND 9.20.20, iptables 1.8.12 och Suricata Reporter 0.7.
Det här låter kanske torrt, men det är viktigt. Moderna systembibliotek och säkerhetskomponenter ger bättre hårdvarustöd, förbättrad säkerhet och en stabilare grund för framtida uppdateringar.
Mindre attackyta och bättre stabilitet
IPFire-teamet har också rensat bort Rust-paket som inte längre behövs i distributionen. Färre onödiga komponenter betyder mindre byggarbete och framför allt en mindre attackyta.
Andra förbättringar gäller bland annat nätverksinstallationen, som nu reserverar mer diskutrymme när systemet startas via nätverk, samt bättre experimentellt stöd för RISC-V-enheter. Web proxy-brandväggsregler skapas dessutom nu med flaggan –wait, vilket minskar risken för kapplöpningsproblem när regler läggs in.
Add-ons har också uppdaterats
Flera tilläggspaket har fått nya versioner, bland annat Git, Samba, Postfix, nano, minicom och tshark. Samtidigt har paketet 7zip tagits bort ur tilläggssamlingen eftersom upstream-projektet inte längre underhålls. För en säkerhetsinriktad distribution som IPFire är det en tydlig markering: gammal och övergiven mjukvara hör inte hemma i en brandvägg.
Varför spelar det här roll?
DNS-brandväggar är inte en magisk lösning på alla säkerhetsproblem. De stoppar inte allt, och de ersätter inte goda lösenord, uppdaterade system eller sunt säkerhetstänkande. Men de kan blockera många hot mycket tidigt, ofta innan användaren ens märker att något var på väg att hända.
För småföretag, skolor, hemmalabb och teknikintresserade användare kan IPFire 2.29 Core Update 201 därför bli en särskilt intressant uppdatering. Den flyttar en typ av skydd som tidigare ofta krävde separata lösningar direkt in i brandväggen.
Tillgänglighet
IPFire 2.29 Core Update 201 finns nu att ladda ner som ISO- och USB-avbildningar från projektets officiella webbplats. Befintliga IPFire-användare kan installera uppdateringen via Pakfire, precis som vanligt.
Med DNS-brandväggen tar IPFire ett tydligt steg från traditionell brandvägg till mer aktivt nätverksskydd, och gör det på ett sätt som både avancerade användare och mindre organisationer kan dra nytta av.
https://www.ipfire.org/downloads/ipfire-2.29-core200
Teknisk faktaruta: IPFire 2.29 Core Update 201
Distribution: IPFire
Version: 2.29 Core Update 201
Typ: Linuxbaserad brandväggsdistribution
Största nyhet: Inbyggd DNS-brandvägg
Skyddar mot: Skadliga domäner, nätfiske, reklam och oönskat innehåll
Teknik: DNS-frågor kontrolleras mot IPFire DBL innan svar skickas till klienten
Blockering: Otillåtna domäner returnerar NXDOMAIN, vilket gör att domänen uppfattas som obefintlig
Uppdatering av listor: Inkrementella DNS-zonöverföringar via IXFR
IPS-förbättring: Olika mottagare kan anges för dagliga, veckovisa och månatliga IDS-rapporter
Uppdaterade komponenter: glibc 2.43, GNU binutils 2.46.0, OpenSSL 3.6.1, OpenVPN 2.6.19 och BIND 9.20.20
Installation: Nya installationer via ISO eller USB-avbildning, befintliga system uppdateras via Pakfire
- IPFire 2.29 Core Update 201
- IPFire 2.29 Core Update 200 – snabbare, säkrare och med egen domänblockering
- IPFire DBL – community-driven domänblockering med full kontroll
- IPFire 2.29 Core Update 199 – öppen källkod möter framtidens nätverk
- IPFire 2.29 Core Update 198: En ny era för nätverkssäkerhet med smartare intrångsskydd
- IPFire 2.29 Core Update 197 – stor uppdatering med snabbare, säkrare VPN och smartare energihantering
- IPFire 2.29 Core Update 195 – WireGuard-integrering och viktiga förbättringar
- IPFire får stöd för post-kvantkryptografi i nya uppdateringen
- IPFire 2.29 med Kernel 6.12 LTS
- IPFire Linux-brandvägg förbereds för Wi-Fi 7 och anammar post-kvantkryptografi”
- 5 Bra brandvägg
