DHCRelay uses port 67 as sourceport

Update changelog for 0.2.3

Checks for portdefinitions in services

Delayed commit of changelog for version 0.2.1

Accept portranges in service definitions

Fixed generation of network based rules

Update Changelog to version 0.2.1

Implement hooks at push also

Update example files

Implement execution of hooks

  With alff 0.1.0, hooks could be called before and after generation
  of rules. While alff 0.2.0 can handle sites, the proceudre which calls
  this hooks must become rewritten.
  From now on, hooks can be called before all sites and per site.
  Therefore the hooks for e.g. pregenerate must resist in
  <alff-config-dir>/hooks.d/pregenerate/[ ALL | <site> ]

  Hooks must end with an exitcode. Hooks ending with exitcode != 0
  cause the rule generation to abort. STDOUT is given on success, STDERR
  will be displayed on termination with exitcode != 0.

Damn typo

Making lintian not crying any more

Update changelog for relase

Create rules dir on setup

Update alff agent config (missing config statement)

Update plugin generateServiceChains.py to new config format

Use std POSIX shell instead of bash and remove old dependencies for alff-rulegen.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Update handleUdpTraceroute plugin to new boolean option handling.

 See e44e6fac7a524add8331ca5c812fe0e46eee7d8d.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

There now is an iptables rule parser :)

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add very basic config check function which leverages the build in config validator.

  This function is intended to be used to basicly validate the configuration
  for syntactical correctness and such without the need to run the generate
  function. This function might be extended to do further plausibility checks.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Make sure even mixed vlan/network/prefix specifications are handled correctly.

  See fd4b798b4dbddad51869f0d1db9215cebbf3c239 for details.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Reflect alff.config API changes in classify_inter_vlan_traffic plugin.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Rename "vlan"/"network" attributes to "network"/"prefix" and deprecate old ones.

  As the old 'vlan' name as been from old times and somewhat misleading it was
  about time to restart with new config paramter names which should be more
  generic and clear. So the old

    <vlan>
     <network> 1.2.3.4/5 </network>
    </vlan>

  is now deprecated in favour of

    <network>
      <prefix> 1.2.3.4/5 </prefix
    </network>

  thereby still accepting the old format but kindly nagging about it pointing to
  the problem. With this commit the internal API in the alff.config module has
  been changed as well to reflect the naming change, still providing the former
  names, too.

  With vim you could easily update your alff.conf with
    % s/\<network\>/prefix/
    % s/\<vlan\>/network/

  Please update your local plugins as well to get rid of the deprecation warnings :)

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Enrich example alff.conf with unified style and more comments.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add AlffDeprecated() call to inform about and shame use of deprecated functions and options.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Parse boolean looking config values as boolean and add default for option 'support_ipv6_nat'.

  Parsing config values look like boolean values ('yes', 'no', 'true', 'false')
  matched case-insensitive as booleans unifies the parsing problem and simplifies
  handling these options.

  The option 'support_ipv6_nat' (default False) controles wether a 'nat' table
  for IPv6 is created as IPv6 NAT isn't available in older Kernel versions
  still active in the wild.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Clean-up alff-cat.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Fix typos.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Style pimp-up for ruleset module.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Allow option defaulting.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Style pimp-up for service module.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Fixes suppression of some vlans which are not at the same site

Think before you commit ...

* Fixed loading of iptables-rules at systemboot
* Fixed creation of hookins for security classes
* Fixed suppress x_to_x chains

Update changelog for 0.2.0-rc1 release

Create md5sums to prove rulesets

Changed path of alff-cat

Some changes in loading Rulesets

Delete token on firewalls

Changed debian files for first version of NEW alff ;)

Fixed path in function module, installed wrapper to call alff.py

Changed the cat a little bit to load the new iptables-save rules

Updated alff.conf sample config to new format

First version of push function

Do not create table nat for ipv6 unless the user wants this

Test if allow_from_world is set, otherwise plugins may break

Fix wrong indent

Be a little more verbose when suppressing chains

Fixed some typos

Simple script to convert old service definitions to new json format

Whiped out old perl-stuff

Some more plugins

Plugin for generation of servicechains

Rewritten class Service as Configwrapper for Servicedefinitions

Fix errormessage

Moved plugin out of pythontree, to store all the plugins in one
directory

Wiped out old perl-stuff, will be completely rewritten in python

Really wait for termination of the subprocess, not just check

Add base work for push function.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add first draft to services module.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add Copyright notice and GPLv2 license header for every new file.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add support to remove empty chains and refs from ruleset.

  The global option 'suppress_empty_chains' controls wether chains
  which don't contain any rules as well as rules containing a jump
  to such a chain will be suppressed when generating the ruleset.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add support to remove unreferenced chains from ruleset.

  The global option 'suppress_unreferenced_chains' controls wether chains
  which aren't referenced by any rule will be suppressed when generating
  the ruleset.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Never ever at all remove empty table from the ruleset.

  Alff must not remove any empty table from the ruleset as there might have
  been rules in this table in the last ruleset and we would not flush these
  outdated rules with a new ruleset.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add logging support to ruleset module.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add alff.py main programm providing full site awareness.

  With all these shiny new modules Alff is now fully site aware and thereby
  providing a powerful tool for managing the rulesets of a lot of distributed
  firewall(s| clusters) all around the world controlled by one central set of
  configuration files.

  Donations welcome :)

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add classify_inter_vlan_traffic plugin.

  This is one of Alff's main plugins generating the vlan traversal matrix
  chains and loading the corresponding rules or default targets into these
  chains. The plugin now it fully site aware and uses the vlan interfaces
  configured for any given site. Using the site database and the internal
  ruleset it is possible to further minimize the generated ruleset so no
  useless or empty chains will be produced if configured accordingly.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add 'generate' function and base plugin.

  The 'generate' function - one of Alff's two main functions - is responsible
  for generating the ruleset. It now is fully site aware and will generate and
  save one ruleset per site.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add basic function loading framework and base class.

  Alff will load all function modules on startup and build up the command
  line argument parser according all function configurations.

  The resulting function will then be executed with all it's arguments.

  The function framework allows the user to create own functions for whatever
  purposes might come to mind and thereby extent Alff scope of operation
  beyond the imaginable.

  The current implementation lacks support of the hook concept available
  in previous versions, which will be added again later as (mainly) the
  "pregenerate" has been widely used.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add misc utils for module/class loading and other nifty stuff.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Extent ruleset API to query and remove chains.

  Added
   * chain_exists (protocol, table, chain)
   * chain_has_rules (protocol, table, chain)
   * remove_chain (protocol, table, chain)

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

(Allow to and) print problematic rule in RulesetErrors.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Allow plugins to provide default value for get_plugin_option().

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Rename config.get_vlan_list() to get_vlans().

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Use integer as internal protocol identifiers.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Fix exception messages for missing chains in ruleset.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add support to read rules from file.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add handling of ruleset cache dirs and print rules into files.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Improve option handling in new config module + small fixes.

  * Add missing get_option() function.
  * Use real boolean values for options if possible.
  * Add get_config_dir() function.
  * Fix some syntax errors.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Add basic ruleset management.

  This includes an ip(6)tables command line parser as far as needed for Alff
  and an ip(6)tables-save like ruleset generation function which now already
  generates identical rulesets when feeded manually :-)

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Groundwork for Alff rewrite in Python.

  Starting with config parser for XML config file with added site awareness
  and error definitions.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Remove configureFirewallNetworkOptions routine

  The sysctl settings should be set on the firewall machine itself and
  should not be part of every ruleset.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Remove pre-push filter.d stuff.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

update debian files for version 0.1.1

Adjusted some more plugins for ipv6

  * create_chain_tcp_header_check
  * create_chain_tcp_scan_handling
  * handleICMP (Bugfix)
  * handleTracerouteUdp

Enable DHCP on ipv6

Do some spoofcheks even in ipv6. This is probably not complete

Modified alff-cat to manage ipv6 rules

protocol should be ipv6-icmp

Added check for nasty routing header 0

First bucket of adjusted plugins

  *  acceptInterFirewallTraffic
  *  accept_established_connections_
  *  classifyInterVlanTraffic
  *  clear_filter_tables
  *  clear_table_
  *  create_chain_log_and_reject
  *  finish_FORWARD
  *  finish_INPUT
  *  handleICMP
  *  hookInBlackAndWhitelist

getIpVersion() didn't match on negated networks

Implemented basic ipv6 functionality

reduced lenth of service chains

   With iptables 1.4.10, chain names are limited to a lenth of 28 chars.
   Substituted Services with Srv, the lenth of the service chain names
   is reduced by five chars. This should work for most cases. In fact,
   that should be done more intelligent by a method in the future,
   limiting the names to 28 chars while generating the ruleset.

Also changed /usr/bin/env sh to bash

On wheezy, we want to use bash instead of sh

fixed error while generating inter vlan rules

Fixed debian warnings, added multiple interface support

Make sure alff-cat is executed by a real bash.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>

Beatufied debian/rules files.

Signed-off-by: Maximilian Wilhelm <max@rfc2324.org>