News

Benvenuti al primo annuncio di rilascio dell'anno! Il team di sviluppo IPFire è stato molto impegnato durante le vacanze e ora presenta l'ultimo aggiornamento per IPFire: IPFire 2.29 - Core Update 191. Questo aggiornamento include una vasta gamma di aggiornamenti di pacchetti per mantenere il tuo firewall aggiornato e IPFire un moderno sistema operativo Linux. Inoltre, l'aggiornamento introduce una serie di correzioni di bug minori e getta le basi per alcune modifiche più grandi che verranno rilasciate nei prossimi due aggiornamenti.

Modifiche in IPFire 2.29 - Core Update 191

Firewall

• Rimozione degli elenchi Feodo Tracker Aggressive e Feodo IP: Questi elenchi, che includevano indirizzi IP rilevati come parte di una botnet, sono stati rimossi a causa dei loro alti tassi di falsi positivi. Feodo non consiglia di utilizzarli per il blocco, ma solo per scopi di ricerca e storici.
• Correzioni di bug nell'elenco delle connessioni aperte: Risolti problemi in cui il paese di destinazione veniva mostrato con un colore errato.

Traduzioni

• Aggiornamento della traduzione francese: Phil Scar ha migliorato la chiarezza della traduzione nella pagina delle opzioni del firewall.

Backup

• Risoluzione di problemi di ripristino: Risolto un problema che impediva a volte il ripristino del backup di un pacchetto aggiuntivo.

Aggiornamenti del Pacchetto

Sistema Centrale

L'aggiornamento include numerosi aggiornamenti di pacchetti, tra cui:

• bash 5.2.37
• glib 2.83.0
• OpenSSL 3.4.0
• SQLite 3.47.0.200
• e molti altri...

Componenti Aggiuntivi

Aggiornamenti significativi anche per i componenti aggiuntivi, come:

• awscli 1.36.15
• ffmpeg 7.1
• Tor 0.4.8.13
• zabbix-agentd 6.0.37 LTS

Zabbix ora riporta anche il throughput IPS e il conteggio degli indirizzi IP bloccati da Guardian.

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Per chi fosse interessato ad avere la certificazione IPFire lo può fare contattando lo staff di IPFire Italia, dovrà sostenere un esame che si terra online e la certificazione verrà rilasciata da Lightning Wire Labs che sviluppa e distribuisce il sistema IPFire  Certificazione IPFire

Se vuoi far parte della squadra non esitare a contattarci tramite il modulo predisposto e inserendo un recapito telefonico contatti

L'ultimo aggiornamento dell'anno

L'ultimo aggiornamento dell'anno per IPFire è pronto per essere rilasciato: IPFire 2.29 - Core Update 190. Questo aggiornamento include un kernel aggiornato, migliora l'accesso remoto al firewall e introduce vari miglioramenti per ISP non funzionanti, punti di accesso wireless, DHCP e molto altro.

Un Nocciolo Fresco

Il kernel di IPFire è stato aggiornato a Linux 6.6.63, portando le ultime correzioni di sicurezza e stabilità dai manutentori del kernel Linux. Questo potrebbe essere l'ultimo kernel basato sulla linea 6.6.x.

Rafforzamento dell'Amministrazione del Firewall

IPFire sta iniziando a rimuovere RSA dall'interfaccia utente web e da SSH. Nelle nuove installazioni, le chiavi RSA non verranno più generate. Nelle installazioni esistenti, la chiave RSA verrà rimossa dall'interfaccia utente web, ma sarà mantenuta per SSH per evitare interruzioni. IPFire ora utilizza anche la crittografia post-quantistica per gli scambi di chiavi SSH, con l'ottimizzazione di NTRU Prime sntrup761 e X25519 con SHA-512, e il meccanismo di incapsulamento delle chiavi basato su Module-Lattice (MK-KEM).

Varie Miglioramenti

• L'interfaccia ROSSA può ora essere configurata per non richiedere più l'opzione RFC4039 Rapid Commit.
• È possibile abilitare o disabilitare individualmente la scansione del traffico IPsec.
• Risolti bug minori nel bridge Unbound/DHCP-Leases.
• Migliorato il processo di avvio per ridurre avvisi e messaggi informativi.
• IPsec ora può gestire chiavi precondivise contenenti virgole.
• Corretto un bug nella pagina delle impostazioni di connessione OpenVPN.
• Sui sistemi UEFI, il programma di installazione ora offre un'opzione di installazione della console seriale.

Pacchetti Aggiornati

Sono stati aggiornati numerosi pacchetti, tra cui APR 1.7.5, BIND 9.20.3, cURL 8.10.0, e molti altri.

Componenti Aggiuntivi

• Supporto wireless migliorato per essere pronti per WiFi 7.
• Corretto un bug che faceva apparire tutti i pacchetti con dimensioni pari a zero byte.
• Aggiornati pacchetti come dnsdist 1.9.6, hostapd 64d60bb4, e altri.

Pacchetti Rimossi

Sono stati rimossi mpfire e lcdproc, pacchetti con pochi utenti e non manutenuti da anni.

Avviso di Deprezzamento

CUPS verrà rimosso dalla distribuzione nei prossimi aggiornamenti. Gli utenti sono invitati a migrare a soluzioni alternative.

Componenti Aggiuntivi di IPFire: Miglioramenti e Modifiche

L'ultimo aggiornamento di IPFire introduce una serie di miglioramenti e correzioni per i componenti aggiuntivi, con un focus particolare sul supporto wireless e altre ottimizzazioni.

Supporto Wireless

IPFire sta implementando diverse modifiche per prepararsi al WiFi 7, distribuendo già piccoli miglioramenti e correzioni di bug. Tra le novità:

• Ricerca del Canale Migliore: IPFire ora cercherà automaticamente il miglior canale disponibile per una maggiore larghezza di banda e una connessione più stabile. Questa funzione è supportata da alcuni moduli wireless.
• Scansione del Quartiere: Abilitata per impostazione predefinita, questa funzione aiuta a trovare il miglior canale possibile.
• Interfaccia Web Migliorata: Alcune parti interne dell'interfaccia web sono state riscritte, risolvendo diversi bug che rendevano difficile la configurazione dell'access point wireless.
• Registrazione su Syslog: hostapd ora registra molto di più su syslog, facilitando il debug.

Correzioni di Bug

• Pacchetti a Zero Byte: È stato corretto un bug che faceva apparire tutti i pacchetti con dimensioni pari a zero byte.

Pacchetti Rimossi

Con questo aggiornamento, IPFire ha deciso di rimuovere mpfire e lcdproc, due pacchetti con pochi utenti e non manutenuti da anni. Questa decisione fa parte dell'impegno per semplificare la distribuzione e concentrare gli sforzi degli sviluppatori sulle funzionalità più utilizzate.

Avviso

Tra due Core Update, IPFire rimuoverà CUPS dalla distribuzione. CUPS, il sistema di stampa Common Unix, è stato utile in passato per rendere disponibili le stampanti USB o con porta parallela sulla rete. Tuttavia, con le moderne stampanti abilitate alla rete e le recenti vulnerabilità di sicurezza, IPFire ha deciso di rimuovere CUPS. Gli utenti sono invitati a migrare a soluzioni alternative.

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Per chi fosse interessato ad avere la certificazione IPFire lo può fare contattando lo staff di IPFire Italia, dovrà sostenere un esame che si terra online e la certificazione verrà rilasciata da Lightning Wire Labs che sviluppa e distribuisce il sistema IPFire  Certificazione IPFire

Se vuoi far parte della squadra non esitare a contattarci tramite il modulo predisposto e inserendo un recapito telefonico contatti

Oggi voglio parlarvi di un nuovo componente che è stato sviluppato da alcuni utenti della comunità internazionale, a cui va il nostro ringraziamento.

IPFire Italia ha comunque collaborato e contribuito a tale componente con alcuni test e con le traduzioni in italiano.

Passando al componente in questione: RPZ - Response Policy Zones. RPZ è un meccanismo che rende possibile definire le politiche locali in modo standardizzato e caricare politiche da fonti esterne. La funzionalità di base del blocco DNS RPZ è simile a piHole ma senza la bella grafica.

Funzionalità di RPZ

I domini bloccati da RPZ non vengono droppati o rifiutati come quando si utilizza una regola firewall. RPZ blocca solo la ricerca del nome di dominio. Se un utente decide di inserire un indirizzo IP per accedere al proprio sito preferito, RPZ non impedirà che ciò accada. Attualmente, non è tra i componenti presenti nei Pakfire, per cui è necessario installarlo manualmente.

Anche se l'operazione non è difficile, è necessario farlo accedendo dalla console del sistema.

Procedura di Installazione

Una volta scaricato il pacchetto rpz-beta-0.1.10-10.ipfire.zip (attuale versione disponibile), è necessario decomprimere il file. All'interno troveremo rpz-n-n-1.ipfire. Questo file va copiato nella directory /opt/pakfire/tmp/. I comandi da eseguire in sequenza sono i seguenti:

Configurazione del Servizio

Una volta installato, troveremo una nuova pagina web per la configurazione sotto il menu IPFire.

La configurazione del servizio è molto semplice: la pagina di configurazione è divisa in due parti. La parte superiore indica dove scaricare le liste dei siti da bloccare.

La parte inferiore serve per indicare le proprie whitelist e/o blacklist. Una volta terminata la configurazione, è sufficiente salvare e applicare le modifiche.

Liste da Utilizzare

Per le liste da inserire nella zonefile, su internet sono presenti innumerevoli elenchi divisi per tipologia, sia gratuiti che a pagamento. Per chi non avesse conoscenza su dove reperirli, indichiamo una lista regolarmente aggiornata: NRD List su GitHub. Chiunque avesse elenchi regolarmente aggiornati ed affidabili e vuole condividere questa informazione con la comunità, è ben accetto.

Liste RPZ

https://github.com/hagezi/dns-blocklists

Preparati per una nuova versione di IPFire: Versione 2.29 - Core Update 189. Questo aggiornamento viene fornito con una correzione di sicurezza e un nuovo grafico per il Sistema di Prevenzione delle Intrusioni (IPS), oltre a numerosi aggiornamenti dei pacchetti. È uno degli aggiornamenti più grandi che abbiamo mai distribuito perché porta una vasta gamma di file firmware nuovi e aggiornati per molti tipi di hardware.

Sistema di Prevenzione delle Intrusioni (IPS)

In caso di arresto anomalo del processo IPS, il firewall avrebbe potuto aprirsi ed esporsi a Internet. Nel mondo reale, non abbiamo individuato nessun malintenzionato che bloccava intenzionalmente Suricata, ma su sistemi con poca memoria, il processo potrebbe essere interrotto per rendere disponibile memoria (#13764). Questo rappresenta un rischio per la sicurezza e quindi consigliamo di installare questo aggiornamento il prima possibile, soprattutto per gli utenti IPS.

Per mitigare questo problema, abbiamo apportato vari miglioramenti alla gestione dell'IPS sotto il cofano. Ora è attivo un processo di sorveglianza quando l'IPS è in esecuzione per riavviarlo nel caso in cui l'IPS si blocchi inaspettatamente. Questa modifica è stata l'occasione per rifare i grafici nella pagina IPS che ora mostrano il throughput IPS in tre diverse categorie:

• Larghezza di banda
• Larghezza di banda scansionata in entrata e in uscita
• Traffico inserito nella whitelist e traffico bypassato

Varie

• Aggiornamento del firmware: Il firmware Linux è stato aggiornato alla versione 20240811 che include aggiornamenti per vari firmware di interfacce wireless ed Ethernet, controller RAID e altri tipi di hardware. Questo spinge la dimensione del download di questo aggiornamento leggermente oltre i 100 MiB.
• Risoluzione problemi grafici: È stato risolto il problema per cui i grafici in tempo reale non si aggiornavano più da soli.
• Aggiornamenti pacchetti: automake 1.17, bind 9.20.1, cURL 8.10.0, dhcpcd 10.0.10, dtc 1.7.1, expat 2.6.3, gdbm 1.24, GCC 14.2.0, GnuTLS 3.8.7, glibc 2.40, iana-etc 20240813, lua 5.4.7, mcelog 200, meson 1.5.1, OpenSSL 3.3.2, OpenVPN 2.5.10, p11-kit 0.25.5, python3-msgpack 1.0.8, ruby 3.3.4, sudo 1.9.16, sysvinit 3.10, taglib 2.0.2, xfsprogs 6.9.0.

Futuro: Integrazione di WireGuard

Permettici di riportare un’informazione molto importante: stiamo lavorando per integrare WireGuard all'interno di IPFire. Per questo progetto stiamo cercando finanziatori; anche pochi euro faranno la differenza. In cambio otterrete tutto il nostro impegno e lavoro per rendere la vostra rete un posto sicuro se posizionata dietro IPFire. Chi vuole contribuire può farlo direttamente dal sito della comunità internazionale.

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Per chi fosse interessato ad avere la certificazione IPFire lo può fare contattando lo staff di IPFire Italia, dovrà sostenere un esame che si terra online e la certificazione verrà rilasciata da Lightning Wire Labs che sviluppa e distribuisce il sistema IPFire  Certificazione IPFire

Se vuoi far parte della squadra non esitare a contattarci tramite il modulo predisposto e inserendo un recapito telefonico contatti

Oggi abbiamo un enorme aggiornamento per il nostro firewall. Questo aggiornamento include un gran numero di modifiche importanti per ogni utente che utilizza IPFire. Abbiamo lavorato per migliorare i pacchetti, aggiornare il kernel, migliorare la gestione dei lease DHCP, ottimizzare il sistema di build e introdurre una nuova versione di OpenSSL, oltre a correzioni per le ultime vulnerabilità della CPU Intel.

Riduzione dell’utilizzo della CPU per la qualità del servizio

IPFire, dalla versione Core 163, utilizza il servizio CAKE, poiché tutto è migliore con CAKE. E questa è un’affermazione vera, confermata da varie analisi. Tuttavia, abbiamo scoperto che CAKE ha un consumo di CPU molto più elevato e potrebbe diventare un collo di bottiglia sui dispositivi con un processore debole ma con interfacce di rete performanti. Pertanto, stiamo modificando IPFire per utilizzare fq_codel per impostazione predefinita.

Un nuovo modo per ottenere i lease DHCP nel DNS

Quando IPFire assegna un indirizzo IP a un dispositivo sulla rete locale, sarebbe utile se quel dispositivo potesse essere raggiunto anche tramite il suo nome e non solo tramite un indirizzo IP casuale. Questo processo veniva eseguito da un bridge che analizzava tutti i lease e li sincronizzava con Unbound, il proxy DNS. Questo programma è stato ora riscritto per ascoltare gli eventi dal server DHCP, in modo da essere più flessibile e scalare meglio.

Varie

• OpenSSL è stato aggiornato alla versione 3.3.0. Questo è l’ultimo ramo principale.
• Il microcodice Intel è stato aggiornato per risolvere una serie di vulnerabilità di sicurezza nelle CPU:
  • INTEL-SA-01083
  • INTEL-SA-01118
  • INTEL-SA-01100
  • INTEL-SA-01038
  • INTEL-SA-01046
• Sistema di prevenzione delle intrusioni (IPS)
  • È stato corretto un bug per cui l'IPS non si avviava quando l'interfaccia RED è un modem 5G/4G che utilizza QMI
  • Le dettagliate regole Suricata integrate non sono più abilitate per impostazione predefinita, il che creerà meno rumore nei registri
• Questa versione include un nuovo kernel basato su Linux 6.6.47 che è una versione che include molti bug, correzioni di stabilità e sicurezza

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Per chi fosse interessato ad avere la certificazione IPFire lo può fare contattando lo staff di IPFire Italia, dovrà sostenere un esame che si terra online e la certificazione verrà rilasciata da Lightning Wire Labs che sviluppa e distribuisce il sistema IPFire  Certificazione IPFire

Se vuoi far parte della squadra non esitare a contattarci tramite il modulo predisposto e inserendo un recapito telefonico contatti