Mit dem Core Update 203 baut IPFire die DNS-Infrastruktur grundlegend um: Statt Unbound kommt künftig Knot Resolver zum Einsatz. Die Umstellung soll unter anderem verschlüsselte Weiterleitung per DNS over TLS, DNS-basierte Filterregeln und einen persistenten Cache ermöglichen. Außerdem unterstützt der integrierte WLAN-Access-Point nun das 6-GHz-Band von Wi-Fi 6E und Wi-Fi 7.
IPFire ist eine auf Sicherheit und Netzwerkgateways ausgerichtete Linux-Distribution. Sie wird typischerweise als Firewall und VPN-Gateway mit Intrusion-Prevention-Funktion eingesetzt.
Knot Resolver wird neue DNS-Basis
Laut Release Notes ersetzen die IPFire-Entwickler mit dem Update den bisher verwendeten Resolver Unbound durch Knot Resolver. Der Wechsel betrifft eine Kernfunktion des Systems: DNS löst nicht nur Hostnamen in IP-Adressen auf, sondern liefert inzwischen auch Informationen für verschlüsselte Verbindungen und moderne Transportprotokolle.
Knot Resolver soll IPFire dafür eine besser erweiterbare Architektur bieten. Der Resolver arbeitet modular und lässt sich skripten. IPFire nutzt dies für eigene Erweiterungen, etwa für die Anbindung von DHCP-Leases und DNS-Filterlisten.
Neu ist unter anderem die Möglichkeit, DNS-Anfragen an externe Resolver verschlüsselt über DNS over TLS weiterzuleiten. Damit lassen sich Anfragen auf dem Weg zum gewählten Upstream-Resolver vor Mitlesern und Manipulation schützen. Administratoren können damit beispielsweise einen externen Resolver einsetzen, ohne DNS-Abfragen unverschlüsselt über den öffentlichen Internetzugang zu schicken.
DNS-Firewall, SafeSearch und gemeinsamer Cache
Mit der neuen DNS-Basis führt IPFire eine DNS-Firewall ein. Sie kann Domains für Malware, Werbung oder andere Kategorien bereits bei der Namensauflösung blockieren. Die dafür benötigten Zonen und Filterdaten lädt das neue Werkzeug zone-sync verschlüsselt herunter. Es aktualisiert die Daten inkrementell, statt stets vollständige Listen zu übertragen.
Auch der Filtermechanismus SafeSearch lässt sich netzwerkweit erzwingen: IPFire leitet Suchanfragen dann zu den SafeSearch-Varianten unterstützter Suchmaschinen und von YouTube um. Zusätzlich bleiben lokale DNS-Einträge und bedingte Weiterleitungen verfügbar. Letztere schicken Anfragen für definierte Zonen gezielt an bestimmte DNS-Server, etwa für ein internes Firmennetz oder eine per VPN erreichbare Domain.
Der Resolver-Cache übersteht künftig Neustarts. Das soll die Namensauflösung nach einem Reboot beschleunigen und die Last auf übergeordneten DNS-Servern senken. Knot Resolver nutzt zudem mehrere Worker-Prozesse, die sich Cache und Status teilen. Dadurch kann IPFire mehrere CPU-Kerne einsetzen, ohne dass jeder Prozess einen eigenen, isolierten Cache pflegt.
Administratoren müssen bei bestehenden DNS-Weiterleitungen allerdings nacharbeiten: Als Forward-Zones konfigurierte vollständig qualifizierte Domainnamen (FQDN) akzeptiert IPFire nicht mehr. Solche Einträge auf der Seite für DNS-Forwarding müssen durch IP-Adressen ersetzt werden.
WLAN im 6-GHz-Band und AWS-Verbesserungen
Der WLAN-Access-Point von IPFire unterstützt nun das 6-GHz-Band. Damit kann die Distribution das zusätzliche Spektrum von Wi-Fi 6E und Wi-Fi 7 nutzen. Gerade in dicht belegten Umgebungen verspricht das weniger Störungen durch Altgeräte und mehr Platz für breite Kanäle mit 80 oder 160 MHz.
Anders als in Teilen des 5-GHz-Bands ist im 6-GHz-Spektrum keine Radarerkennung per DFS erforderlich. Access Points müssen daher vor dem Start keinen freien Kanal suchen und bei erkannten Radarsignalen nicht zwangsweise den Kanal wechseln. Das soll Verbindungsabbrüche durch solche Wechsel vermeiden. Zudem behebt das Update einen Fehler, der den Start des Access Points bei manuell gewähltem Kanal und 40 MHz Kanalbreite verhindern konnte.
Für IPFire-Instanzen auf AWS ergänzt das Release die Unterstützung für IMDSv2. Der tokenbasierte Metadatenservice von EC2 gilt gegenüber der ersten Version als sicherer und kann bei neueren Konfigurationen verpflichtend sein. Bestehende Installationen mit IMDSv1 sollen weiterhin funktionieren.
Sicherheitsupdates und aktualisierte Komponenten
Core Update 203 aktualisiert außerdem Intel-Microcode für bestimmte Prozessoren. Dieser soll eine unter INTEL-SA-01420 geführte Sicherheitslücke adressieren. Ein Fehler bei der UTF-8-Verarbeitung in Perl wurde ebenfalls korrigiert; dadurch sollen Übersetzungen mit Nicht-ASCII-Zeichen wieder korrekt in der Weboberfläche erscheinen.
Daneben aktualisiert IPFire zahlreiche Basis- und Zusatzpakete, darunter BIND, OpenVPN, Suricata, strongSwan, Samba, Postfix und Zabbix Agent. Bei OpenVPN wurden unter anderem die Konfigurations-Download-Schaltfläche überarbeitet und zusätzliche Angaben für Roadwarrior-Verbindungen mit statischer IP-Zuweisung ergänzt.
(fo)
English (US) ·