Firewall Builder

Firewall Builder là một cấu hình tường lửa và quản lý hệ thống đa nền tảng. Nó bao gồm một giao diện và thiết lập của trình biên dịch cho nền tảng chính sách tường lửa khác nhau.
Firewall Builder giúp người dùng duy trì một cơ sở dữ liệu của các đối tượng và cho phép chỉnh sửa chính sách sử dụng thao tác kéo-và-thả đơn giản.
Các giao diện và chính sách biên dịch hoàn toàn độc lập, điều này cung cấp cho một mô hình trừu tượng phù hợp và giao diện tương tự cho nền tảng tường lửa khác nhau. Nó hiện đang hỗ trợ iptables, IPFilter, ipfw, OpenBSD pf và Cisco PIX.

là gì mới trong phiên bản này:

• GUI cập nhật:
• chuyển "hàng loạt cài đặt" nút từ trình hướng dẫn cài đặt chính vào hộp thoại nơi mà người dùng nhập vào mật khẩu của họ. Bây giờ người dùng có thể bắt đầu trong một phi-batch mode cài đặt nhưng vẫn tiếp tục trong hàng loạt chế độ cài đặt bất cứ lúc nào nếu tất cả các bức tường lửa của họ xác nhận với tên người dùng và mật khẩu.
• xem # 2628 vụ tai nạn cố định đã xảy ra nếu người dùng tạo ra các đối tượng tường lửa mới từ một template và thay đổi một trong các địa chỉ ip, trong khi một đối tượng được tạo ra từ tường lửa cùng một mẫu đã tồn tại trong cây.
• xem # 2635 kiểu Object AttachedNetworks không được phép trong các "giao diện" yếu tố quy luật.
• Các danh sách thả xuống của các giao diện cho các "tuyến đường qua" quy tắc lựa chọn cho PF và iptables nên không chỉ bao gồm các giao diện cluster, mà còn giao diện của tất cả các thành viên. Bằng cách này, chúng ta có thể làm cho trình biên dịch tạo ra cấu hình "vượt qua trong nhanh chóng trên đường em0-to {(em0 10.1.1.2)} ..." cho một quy luật của một cụm PF. Here "em0" là một giao diện của một thành viên, không phải là cluster.
• sửa lỗi # 2642 "GUI tai nạn nếu người dùng hủy bỏ hộp thoại newFirewall".
• sửa lỗi # 2641 "hộp thoại newFirewall không chấp nhận địa chỉ ipv6 với tiền tố dài". Hộp thoại không cho phép địa chỉ ipv6 của inetrfaces với netmask & gt; 64 bit.
• sửa lỗi # 2643 "GUI tai nạn khi sử dụng cắt một quy tắc, sau đó nhấp chuột phải chuột vào bất kỳ yếu tố quy tắc của người khác"
• tăng kiểm tra để chắc chắn rằng người dùng không nhập netmask với zero trong trung cho các đối tượng mạng IPv4. Netmasks như không được hỗ trợ bởi fwbuilder.
• sửa lỗi # 2648 "click chuột phải vào đối tượng trong bức tường lửa" đối tượng bị xóa "thư viện GUI gây ra tai nạn"
• sửa lỗi SF 3388055 Thêm một "DNS Name" có một không gian dấu gây ra thất bại.
• sửa lỗi SF 3302121 "mỹ phẩm mis-format ở Sở giao dịch chứng khoán Frankfurt Linux thoại đường"
• sửa lỗi SF 3247094 "Danh mục các địa chỉ IP chỉnh sửa hộp thoại". Thoại mạng ipv6 nói "Tiền tố chiều dài".
• xem # 2654 sửa GUI vụ tai nạn xảy ra nếu người dùng sao chép một tập tin quy tắc từ A đến B nộp, sau đó tập kín B, mở tập tin C và cố gắng để sao chép các quy tắc tương tự từ A đến C '
• xem # 2655 tên giao diện không được phép có dấu gạch ngang "-" ngay cả với giao diện xác minh off. Chúng ta nên cho phép "-" trong tên giao diện Cisco IOS cho
• xem # 2657 phát hiện mạng snmp bị rơi nếu tùy chọn "Nhốt quét vào mạng" đã được sử dụng.
• sửa lỗi # 2658 "phát hiện mạng snmp tạo địa chỉ trùng lặp và mạng lưới các đối tượng"
• enable fwbuilder để tận dụng lợi thế của GSSAPIAuthentication với openssh sử dụng gợi ý của Matthias Witte witte@netzquadrat.de
• cố định một lỗi (không có số): nếu người sử dụng tên tập tin nhập vào "tên tập tin đầu ra" trong lĩnh vực "cài đặt nâng cao" thoại của một đối tượng tường lửa kết thúc với một không gian màu trắng, cài đặt chính sách thất bại với một lỗi "Không như vậy tập tin hoặc thư mục "
• Lỗi cố định SF # 3433587 "Manual chỉnh sửa của Destination dịch vụ mới Cảng END giá trị thất bại". Lỗi này đã làm cho nó có thể chỉnh sửa các giá trị của sự kết thúc của dãy cổng vì ngay sau khi các giá trị trở nên ít hơn giá trị của đầu phạm vi, các giao diện đồ họa sẽ thiết lập lại nó để bằng với giá trị của sự khởi đầu của dãy . Điều này ảnh hưởng đến cả các hộp thoại đối tượng dịch vụ TCP và UDP.
• sửa lỗi # 2665 "Thêm văn bản nhận xét nguyên nhân quy tắc để đi từ 2 hàng để 1 hàng". Trong những trường hợp nhất định, quy tắc biên tập comment gây ra các giao diện để sụp đổ hàng tương ứng tại các điểm quy định cụ để chỉ những đối tượng đầu tiên của mỗi phần tử quy tắc có chứa một số đối tượng đã được nhìn thấy.
• sửa lỗi # 2669 "Cant kiểm tra đối tượng dịch vụ tùy chỉnh trong tiêu chuẩn đối tượng thư viện".
• Thay đổi trong chính sách nhập khẩu cho tất cả các nền tảng được hỗ trợ
• Thay đổi ảnh hưởng đến nhập khẩu của các cấu hình PIX:
• đổi tên token từ "ESP" để "ESP_WORD" để tránh xung đột với các macro "ESP" đã xảy ra trong quá trình xây dựng trên OpenSolaris
• xem # 2662 "Crash khi biên dịch ASA quy tắc với dải IP". Cần phải chia dải địa chỉ nếu nó được sử dụng trong "nguồn" của một quy tắc điều khiển telnet, ssh hoặc http để tường lửa chính nó và phiên bản tường lửa là & gt; = 8,3. Lệnh "ssh", "telnet" và "http" (những người kiểm soát truy cập vào các giao thức tương ứng với các bức tường lửa chính nó) chỉ chấp nhận địa chỉ IP của một máy chủ hoặc một mạng lưới như lập luận của họ. Họ không chấp nhận phạm vi địa chỉ, đối tượng có tên hoặc một nhóm đối tượng. Điều này là rất ít nhất là của ASA 8.3. Kể từ khi chúng tôi mở rộng phạm vi địa chỉ cho phiên bản & lt; 8.3 và sử dụng tên đối tượng cho 8.3 và sau đó, chúng ta cần phải thực hiện kiểm tra bổ sung này và vẫn mở rộng phạm vi địa chỉ trong các quy tắc mà sau này sẽ chuyển đổi để "ssh", "telnet" hoặc "http" lệnh. Trình biên dịch vẫn tạo ra dư thừa tuyên bố đối tượng nhóm với khối CIDR được tạo ra từ các dải địa chỉ, nhưng không sử dụng nhóm này trong nguyên tắc. Điều này không phá vỡ cấu hình được tạo ra nhưng các đối tượng nhóm là không cần thiết vì nó không bao giờ được sử dụng. Điều này sẽ được khắc phục trong các phiên bản trong tương lai.
• sửa lỗi # 2668 Remove "các tuyến đường tĩnh" từ các văn bản giải thích trong hộp thoại nhập khẩu / PIX ASA. Chúng tôi không thể nhập PIX / ASA cấu hình định tuyến tại thời điểm này.
• sửa lỗi # 2677 nhập khẩu Chính sách cho PIX / ASA không thể phân tích cú pháp lệnh "nat (bên trong) 1 0 0"
• sửa lỗi # 2679 nhập khẩu Chính sách cho PIX / ASA không thể nhập khẩu "nat miễn" luật (ví dụ: "nat (bên trong) 0 access-list MIỄN")
• sửa lỗi # 2678 nhập khẩu Chính sách cho PIX / ASA không thể phân tích cú pháp lệnh nat với tham số "bên ngoài"
• Thay đổi và cải tiến trong các thư viện API libfwbuilder:
• chức năng InetAddr :: isValidV4Netmask () kiểm tra rằng netmask đại diện bởi các đối tượng bao gồm một chuỗi các "1" bit, theo sau là chuỗi các số "0" bit và do đó không có zero ở giữa.
• lỗi cố định # 2670. Mỗi mạng RFC3021 với netmask / 31 không có mạng và địa chỉ phát sóng trực tiếp. Khi giao diện của tường lửa được cấu hình với các trình biên dịch netmask / 31, chính sách không nên đối xử với các địa chỉ thứ hai của "subnet" là một chương trình phát sóng.
• Thay đổi trong hỗ trợ cho iptables:
• xem # 2639 "hỗ trợ cho subinterface vlan của giao diện cầu (ví dụ br0.5)". Hiện nay fwbuilder không thể tạo ra kịch bản để cấu hình subinterface vlan của giao diện cầu, tuy nhiên nếu người dùng không yêu cầu cấu hình kịch bản này được tạo ra, trình biên dịch không nên hủy bỏ khi nó gặp sự kết hợp này.
• sửa lỗi # 2650 "quy tắc với dải địa chỉ bao gồm địa chỉ tường lửa trong Src được đặt trong chuỗi OUTPUT mặc dù địa chỉ không phù hợp với các bức tường lửa cần đi Forward"
• sửa SF bug # 3414382 "segfault trong fwb_ipt đối phó với các nhóm sản phẩm nào". Trình biên dịch cho iptables sử dụng để sụp đổ khi một nhóm sản phẩm nào được sử dụng trong các "giao diện" cột của một quy tắc chính sách.
• xem SF bug # 3416900 "Thay thế 'command` với` which` ". Kịch bản được tạo ra (Linux / iptables) được sử dụng để sử dụng "lệnh -v" để kiểm tra xem các công cụ dòng lệnh nó cần có mặt trên hệ thống. Điều này đã được sử dụng để tìm iptables, lsmod, modprobe, ifconfig, vconfig, logger và những người khác. Một số các bản phân phối Linux nhúng, đáng chú ý là TomatoUSB, đến mà không có hỗ trợ cho "lệnh". Chuyển sang "mà" đó là ubuquitous hơn và sẽ có khá nhiều ở khắp mọi nơi.
• cố định # 2663 "Rule với" cũ-phát sóng "kết quả đối tượng trong iptables không hợp lệ chuỗi INPUT". Trình biên dịch đã được lựa chọn Input chuỗi với định hướng "đi" cho các quy tắc mà có địa chỉ quảng bá cũ trong "Source", điều này dẫn đến không hợp lệ iptables cấu hình với chuỗi INPUT và "-o eth0" khoản giao diện trận đấu.
• lỗi cố định trong các quy tắc xử lý thay thế AddressRange đối tượng thể hiện địa chỉ duy nhất với một đối tượng IPv4. Cũng loại bỏ mã số dự phòng.
• sửa lỗi # 2664 Cập nhật thông báo lỗi khi "mà" lệnh không. Tạo iptables kịch bản sử dụng "mà" để kiểm tra xem tất cả các tiện ích nó sử dụng tồn tại trên máy tính. Chúng ta cũng nên kiểm tra xem "mà" bản thân nó tồn tại và phát hành thông báo lỗi có ý nghĩa nếu không.
• SF bug # 3439613. Module physdev không cho phép --physdev-out cho giao thông không bắc cầu nữa. Chúng tôi cần thêm --physdev-được-cầu nối để đảm bảo điều này chỉ phù hợp với cầu nối các gói tin. Ngoài ra thêm "i" / mệnh "-o" để phù hợp với giao diện cầu của phụ huynh. Điều này cho phép chúng tôi kết hợp một cách chính xác mà cầu các gói tin đi qua các cấu hình sử dụng giao diện cổng cầu ký tự đại diện. Ví dụ, khi br0 và br1 có "vnet +" port cầu giao diện, iptables vẫn có thể kết hợp một cách chính xác mà cầu các gói tin đi qua sử dụng "-o br0" hoặc một điều khoản "-o br1". Điều này có thể hữu ích trong việc cài đặt với nhiều giao diện bắc cầu mà có được tạo ra và phá hủy động, ví dụ như với các máy ảo. Lưu ý rằng "br0 -i" / "-o br0" khoản chỉ được thêm vào khi có nhiều hơn một cây cầu giao diện và tên cảng cầu kết thúc với một biểu tượng thẻ hoang dã "+"
• cố định SF bug # 3443609 Return of ID: 3059893 ": iptables" --set "tùy chọn phản đối". Cần sử dụng --match-thiết thay vì --set nếu iptables phiên bản là & gt; = 1.4.4. Việc sửa chữa được thực hiện cho # 3059893 chỉ trong trình biên dịch chính sách nhưng cần phải được thực hiện trong cả chính sách và trình biên dịch nat.
• Thay đổi trong hỗ trợ cho PF (FreeBSD, OpenBSD):
• xem # 2636 "cá chép: đầu ra không chính xác trong định dạng rc.conf.local". Nên sử dụng create_args_carp0 thay vì ifconfig_carp0 để thiết lập giao diện CARP vhid, vượt qua và thông số adskew.
• xem # 2638 "Khi mật khẩu CARP trống giá trị advskew không được đọc". Nên bỏ qua "vượt qua" tham số của lệnh ifconfig tạo ra giao diện người dùng cá chép nếu không thiết lập bất kỳ mật khẩu.
• cố định SF bug # 3429377 "PF: ​​quy tắc IPv6 không được thêm vào trong IPv4 / IPv6 ruleset (anchor)". Trình biên dịch cho PF không inlcude quy tắc tạo ra cho IPv6 trong PF tạo file cấu hình neo.
• Lỗi cố định SF 3428992: "PF: ​​cai vấn đề trật tự với IPv4 và IPv6". Trình biên dịch cho PF nhóm ipv4 và ipv6 NAT nên quy tắc với nhau, trước khi nó tạo ra ipv4 và ipv6 chính sách quy định
.
• Nhiều sửa lỗi trong các thuật toán được sử dụng để xử lý các quy tắc khi lựa chọn "giữ nhóm đối tượng và địa chỉ tên bảng" có hiệu lực
• sửa lỗi # 2674 NAT trình biên dịch cho PF đã bị rơi khi AttachedNetworks đối tượng được sử dụng trong Nguồn dịch của một quy tắc NAT.
• Thay đổi trong hỗ trợ cho Cisco IOS ACL:
• sửa lỗi # 2660 "trình biên dịch cho IOSACL bị rơi khi phạm vi địa chỉ xuất hiện trong một quy tắc và lựa chọn đối tượng nhóm được bật ON"
• Lỗi cố định SF 3435004:. "Rỗng đường trong kết quả bình trong" Command Incomplete "trong IOS"
• Thay đổi trong hỗ trợ cho ipfw:
• cố định SF bug # 3426843 "ipfw không làm việc cho tự tham khảo, trong 5.0.0.3568 phiên bản".
• Thay đổi trong hỗ trợ cho Cisco ASA (PIX, FWSM):
• xem # 2656 "tạo Cisco ASA access-list đã nhân đôi entry". Theo chính sách biên dịch một số trường hợp fwb_pix tạo ra bản sao danh sách truy cập đường.
• Các thay đổi khác:
• xem # 2646 và SF lỗi 3.395.658: Thêm vài ipv4 và ipv6 đối tượng mạng để các đối tượng tiêu chuẩn thư viện: TEST-NET-2, TEST-NET-3 (RFC 5735, RFC 5737), dịch-ipv4, ánh xạ-ipv4 , Teredo, những người khác độc đáo-địa phương và số.

là gì mới trong phiên bản 5.0.0:

• Phiên bản này bao gồm nhiều cải tiến giao diện và tăng cường hỗ trợ cho các cấu hình lớn với các tính năng mới như người dùng xác định thư mục con, các từ khóa cho các đối tượng gắn thẻ, các nhóm năng động với bộ lọc thông minh, và nhiều hơn nữa.
• Các tính năng mới khác bao gồm hỗ trợ cho nhập khẩu các tập tin cấu hình PF và một loại đối tượng mới được gọi là Mạng đính kèm, trong đó đại diện cho danh sách các mạng kết nối với một giao diện mạng.

là gì mới trong phiên bản 4.2.1:

• v4.2.1 là một phiên bản lỗi, sửa chữa nhỏ, sửa chữa các vấn đề đó trong
xây dựng trong chính sách cài đặt chế độ hàng loạt, thuật sĩ phát hiện mạng SNMP và vài lỗi khác trong GUI.

là gì mới trong phiên bản 4.2.0:

• Phiên bản này cải thiện đáng kể nhập khẩu các cấu hình tường lửa hiện, giới thiệu suport cho nhập khẩu của Cisco ASA / PIX / FWSM cấu hình và de-duplication của các đối tượng nhập khẩu cho tất cả các nền tảng. Phiên bản này cũng hỗ trợ thêm cho cấu hình của giao diện cầu và vlan và các tuyến đường tĩnh trên FreeBSD và làm cho nó có thể để tạo ra cấu hình ở định dạng của file rc.conf. Fwbuilder bây giờ hỗ trợ các phiên bản mới nhất của phần mềm Cisco ASA bao gồm cú pháp lệnh mới cho các lệnh nat trong ASA 8.3.

là gì mới trong phiên bản 4.1.3:

• Phiên bản này bao gồm một số cải tiến về khả năng sử dụng và sửa lỗi. Cải thiện khả năng sử dụng bao gồm việc bổ sung một chế độ tài nâng cao làm giảm số tooltips cho người sử dụng điện và việc bổ sung một checkbox rule chính sách mới để xác định liệu quy định mới đã đăng nhập đã được kích hoạt hay vô hiệu hóa theo mặc định. Sửa lỗi quan trọng bao gồm hỗ trợ cho các hệ thống Windows sử dụng phiên Putty, hỗ trợ cho việc cấu hình địa chỉ IP trên giao diện chương trình phát sóng và một số bản sửa lỗi liên quan đến cấu hình cụm được cải thiện. Sửa cấu hình cluster bao gồm việc thêm hỗ trợ cho nhập khẩu quy định phân nhánh khi một nhóm được tạo ra và hỗ trợ để tạo ra quy tắc NAT yêu cầu iptables REDIRECT mục tiêu.

là gì mới trong phiên bản 4.1.2:

• Enable mẹo công cụ mặc định và bổ sung thêm các mẹo công cụ
• Đơn giản hóa cấu hình giao diện trong Wizards đối tượng mới cho New Firewall và New Host
• Tự động mở đối tượng chính sách tường lửa firewall khi đối tượng mới được tạo ra
• trợ giúp định hướng bổ sung và dây trợ giúp
• Cố định vấn đề cài đặt cho người dùng Windows sử dụng phiên Putty
• Fix vấn đề (SF 307.732) mà giao diện ký tự đại diện không phù hợp trong quy tắc PREROUTING
• Cố định ban hành (SF 3.049.665) nơi Firewall Builder không tạo ra phần mở rộng tên tập tin dữ liệu thích hợp

là gì mới trong phiên bản 4.1.1:

• v4.1.1 bao gồm các bản sửa lỗi cho một số lỗi nhỏ và là phiên bản đầu tiên chính thức hỗ trợ cấu hình HP ProCurve ACL. Nhờ đóng góp hào phóng của một vài biến đổi từ HP, chúng tôi đã có thể thử nghiệm và hoàn thiện sự hỗ trợ ProCurve. Phiên bản này cũng sửa chữa một lỗi nghiêm trọng trong V4.1.0 liên quan đến cấu hình Cisco IOS ACL. Một số cấu hình sẽ gây Firewall Builder để tạo ra không đúng và sai với thông điệp "Không thể tìm thấy giao diện với khu mạng lưới bao gồm địa chỉ ABCD".

là gì mới trong phiên bản 4.0.0:

• Sau nhiều tháng thử nghiệm beta, đây là ổn định sản xuất sẵn sàng phát hành.

là gì mới trong phiên bản 3.0.6:

• Đây là một phiên bản lỗi, sửa chữa, nó đi kèm với những cải tiến trong giao diện để sửa chữa các vấn đề với việc in ấn của bộ luật lớn và tối ưu hóa bổ sung trong iptables tạo và cấu hình PF.