Den populära Linuxbaserade brandväggen IPFire har fått en ny uppdatering. Version 2.29 Core Update 204 rättar ett besvärligt problem som drabbat VPN-användare, uppdaterar Linuxkärnan och innehåller en rad förbättringar som ska göra brandväggen både säkrare och stabilare.
Vad är IPFire?
IPFire är en Linuxbaserad brandvägg som används för att skydda datorer och nätverk mot obehörig åtkomst och olika typer av internetattacker. Systemet är baserat på öppen källkod och kan installeras på en vanlig dator eller särskild nätverksutrustning.
Till skillnad från en traditionell brandvägg i exempelvis Windows fungerar IPFire som en central skyddsmur mellan det lokala nätverket och internet. All nätverkstrafik kan passera genom brandväggen, där den kontrolleras enligt de säkerhetsregler som administratören har ställt in.
IPFire används bland annat i mindre företag, organisationer och av teknikintresserade privatpersoner som vill ha större kontroll över sina nätverk.
DNS-problem för VPN-användare rättas
Den viktigaste nyheten i Core Update 204 handlar om DNS, internets motsvarighet till en telefonkatalog.
När du exempelvis skriver in en webbadress i webbläsaren måste datorn först ta reda på vilken IP-adress webbservern har. Denna översättning utförs av en DNS-server.
I den föregående uppdateringen bytte IPFire ut sin tidigare DNS-programvara, Unbound, mot Knot Resolver. Bytet skulle bland annat ge snabbare namnuppslagningar och förbättrad driftsäkerhet.
Enligt utvecklarna har förändringen fått ett positivt mottagande. Flera användare har rapporterat snabbare DNS-svar och att tidigare problem försvunnit.
Men övergången medförde också ett oväntat fel.
Användare som anslöt till sina nätverk genom VPN-teknikerna IPsec, WireGuard eller OpenVPN kunde i vissa fall inte längre slå upp domännamn.
Problemet berodde på att Knot Resolver skickade sina DNS-svar med fel avsändaradress. Trots att VPN-anslutningen fungerade kunde klienterna därför inte hantera DNS-svaren korrekt.
Resultatet blev att internet och interna nätverkstjänster kunde uppfattas som otillgängliga, trots att själva VPN-tunneln fungerade.
Detta är nu åtgärdat i Core Update 204.
Lösningen krävde relativt omfattande ändringar i hur Knot Resolver hanterar nätverkskommunikation. IPFire-utvecklarna har även skickat sina förbättringar vidare till Knot Resolver-projektet, så att andra användare kan dra nytta av dem.
Ny Linuxkärna förbättrar säkerheten
En annan betydelsefull förändring är att IPFire nu använder Linuxkärnan 6.18.54.
Linuxkärnan är operativsystemets innersta del. Den ansvarar bland annat för kommunikationen mellan programvaran och datorns hårdvara, minneshantering och nätverkstrafik.
För en brandvägg är kärnan särskilt viktig eftersom den hanterar stora delar av nätverkskommunikationen.
Den uppdaterade kärnan innehåller ett antal rättningar från Linuxprojektet som ska bidra till bättre stabilitet och säkerhet.
Det betyder inte nödvändigtvis att användaren märker någon dramatisk skillnad i vardagen. Däremot är regelbundna kärnuppdateringar viktiga för att minska risken för säkerhetsbrister och andra problem.
WireGuard blir enklare att konfigurera
WireGuard är en modern VPN-teknik som blivit populär tack vare sin relativt enkla uppbyggnad och goda prestanda.
I tidigare IPFire-versioner kunde importen av WireGuard-konfigurationer misslyckas om en konfigurationsfil innehöll flera subnät separerade med mellanslag.
Ett subnät är en avgränsad del av ett större datornätverk. Det är vanligt att en VPN-anslutning behöver ge åtkomst till flera sådana nät.
Core Update 204 rättar importproblemet, vilket förenklar administrationen för användare med mer avancerade nätverkskonfigurationer.
Bättre skydd mot nätfiske
Uppdateringen innehåller även en nyhet för IPFires intrångsskydd, IPS (Intrusion Prevention System).
Ett IPS-system analyserar nätverkstrafiken och försöker identifiera misstänkta aktiviteter, exempelvis kända angreppsmönster och försök att utnyttja säkerhetshål.
IPFire erbjuder nu regeluppsättningen Advanced Phishing Protection, utvecklad av Julio Lira, som en tillgänglig regelkälla.
Reglerna är avsedda att förbättra möjligheterna att identifiera och stoppa viss trafik kopplad till nätfiske.
Nätfiske, eller phishing, innebär att angripare försöker lura människor att lämna ut exempelvis lösenord eller andra känsliga uppgifter, ofta genom falska webbplatser och meddelanden.
Skyddet ersätter inte användarens egen försiktighet, men kan fungera som ytterligare ett säkerhetslager i nätverket.
Flera viktiga program uppdateras
Utöver de större förändringarna innehåller Core Update 204 en omfattande uppdatering av systemets programvaror.
Bland de viktigare uppdateringarna finns:
- Apache 2.4.68 – webbserverprogramvara som bland annat används för webbaserade tjänster.
- Bash 5.3p15 – kommandotolk för administration och skript.
- BIND 9.20.24 – programvara för DNS-tjänster.
- cURL 8.21.0 – verktyg för kommunikation med olika internettjänster.
- Knot Resolver 6.4.2 – DNS-resolvern som ersatt Unbound.
- OpenSSH 10.4p1 – används för säker fjärradministration.
- OpenSSL 3.6.5 – ett centralt bibliotek för krypterad kommunikation.
- SQLite 3.53.3 – en lättviktig databasmotor.
- systemd 261.1 – hanterar systemtjänster och andra delar av systemets drift.
Även ett stort antal andra bibliotek och systemkomponenter har fått nya versioner.
För användaren innebär detta framför allt att IPFire hålls uppdaterat med förbättringar och felrättningar från de olika programvaruprojekten.
Förbättrad övervakning av brandväggen
IPFire har också ett antal tilläggsprogram som kan installeras för att utöka funktionaliteten.
I den nya uppdateringen har flera av dessa förbättrats.
Övervakningsprogrammet Observium Agent kan nu rapportera status för Apache-webbservern. Det gör det enklare för administratörer att upptäcka om webbservertjänsten får problem.
Även Zabbix, ett populärt system för nätverks- och serverövervakning, har fått förbättrat stöd. Det kan nu samla in mätvärden från Knot Resolver.
Med sådana mätvärden kan en administratör lättare följa hur DNS-tjänsten fungerar och undersöka eventuella prestandaproblem.
Dessutom har ett problem med Avahi rättats. Tidigare kunde systemets avstängning fastna om Avahi-tjänsten inte kördes. Detta ska nu vara åtgärdat.
Bland de uppdaterade tilläggsprogrammen finns även ClamAV 1.5.3, FFmpeg 8.1.2, Git 2.55.0, HAProxy 3.4.2, Postfix 3.11.4, rsync 3.5.0 och Transmission 4.1.3.
Även RISC-V får förbättringar
En mindre uppmärksammad nyhet gäller processorarkitekturen RISC-V.
RISC-V är en öppen processorarkitektur som kan användas som alternativ till exempelvis x86 och ARM.
IPFire erbjuder experimentella versioner för RISC-V, och dessa har nu optimerats för processorer som kan utföra instruktioner i en annan ordning än den de ursprungligen kommer i.
Tekniken kallas out-of-order execution och kan förbättra processorns prestanda.
De nya optimeringarna är anpassade för modernare RISC-V-processorer, samtidigt som kompatibiliteten med den tidigare RVA22-nivån bibehålls.
Större förändringar väntar
IPFire-utvecklarna berättar också att arbetet med kommande versioner redan pågår.
Ett viktigt utvecklingsområde är förbättrad övervakning och rapportering.
Målet är att ge administratören en tydligare bild av vad som händer i brandväggen och hur trafiken rör sig genom nätverket.
Det kan exempelvis göra det enklare att analysera nätverkets belastning, upptäcka avvikelser och felsöka anslutningsproblem.
Utvecklarna har ännu inte presenterat någon tidsplan för när dessa förbättringar kommer att finnas tillgängliga.
Bör man uppdatera?
För den som redan använder IPFire 2.29 är Core Update 204 en viktig underhållsuppdatering.
Särskilt angelägen är den för installationer där IPsec, WireGuard eller OpenVPN används, eftersom den löser ett fel som kan förhindra DNS-uppslagningar via VPN.
Även användare som inte drabbats av detta problem har anledning att uppdatera, inte minst på grund av den nya Linuxkärnan och de många uppdaterade systemkomponenterna.
Som alltid vid uppdatering av en brandvägg är det klokt att först säkerhetskopiera konfigurationen och planera för ett eventuellt kortare driftavbrott.
Läs mer:
Distribution: IPFire
Version: 2.29
Uppdatering: Core Update 204
Linuxkärna: 6.18.54
DNS-resolver: Knot Resolver 6.4.2
VPN-stöd: IPsec / WireGuard / OpenVPN
Licens: Öppen källkod
Användning: Brandvägg och nätverkssäkerhet
