IPFire 2.29 corrige falha DNS em túneis VPN e reforça segurança

Se usas IPFire como firewall central e confias em túneis IPsec, WireGuard ou OpenVPN para ligar filiais ou acessos remotos, esta atualização não é opcional. A Core Update 204 do IPFire 2.29, lançada hoje, corrige um erro no recém-adotado Knot Resolver que deixava estas ligações sem resolver nomes DNS em condições.

Segundo o 9to5Linux, o problema apareceu na Core Update 203, quando o projeto trocou o Unbound pelo Knot Resolver como full caching DNS resolver. Em redes protegidas por IPFire, clientes ligados por VPN recebiam respostas DNS com o IP de origem errado, o que fazia a resolução falhar. Michael Tremer, um dos responsáveis do projeto, diz que o feedback da migração foi muito positivo, com DNS mais rápido e vários problemas antigos arrumados, mas esta regressão exigiu mexidas profundas na camada de I/O do Knot Resolver, alterações que a equipa contribuiu upstream.

Ou seja, não é só um hotfix local, é trabalho devolvido à comunidade. Para quem usa IPFire em ambientes mais sensíveis, isto interessa: menos patches privados, mais código revisto por mais olhos. A mesma atualização acrescenta ainda o ruleset “Advanced Phishing Protection” ao sistema de prevenção de intrusões (IPS), como novo fornecedor de regras. É um detalhe com impacto direto, porque reforça a filtragem de ataques de phishing à saída e à entrada, num contexto em que o e-mail e o browser continuam a ser os pontos de entrada preferidos.

Há também correções práticas do dia a dia: o IPFire passa a importar ficheiros de configuração WireGuard com vários sub-redes separados por espaços, algo que em muita rede real aparece sem grande cerimónia. O Zabbix é atualizado para reportar métricas específicas do Knot Resolver e o agente Observium passa a expor o estado do servidor web Apache. Para quem gere dezenas de firewalls, isto significa menos SSH manual e mais visibilidade centralizada, que é onde estas caixas deviam estar desde o início.

No lado mais técnico, a Core Update 204 ajusta as builds experimentais para RISC-V com cores out-of-order e resolve um bloqueio do Avahi no shutdown quando o daemon já não estava a correr, resultado de um erro por tratar. O kernel sobe para Linux 6.18.54 LTS, e há uma ronda de atualizações de base que tocam praticamente tudo: ALSA 1.2.16, ClamAV 1.5.3, dnsdist 2.1.0, FFmpeg 8.1.2, Git 2.55, HAProxy 3.4.2, nano 9.1, Postfix 3.11.4, Rsync 3.5.0, Apache 2.4.68, bash 5.3p15, BIND 9.20.24, cURL 8.21.0, entre outros. Quem leva segurança a sério sabe que deixar estas peças de infraestrutura paradas é receita certa para problemas mais à frente.

Mais detalhes técnicos e a lista completa de mudanças estão na página de anúncio da Core Update 204 do IPFire. As imagens ISO e USB já podem ser descarregadas, mas quem já usa IPFire só precisa de atualizar via Pakfire, como habitual. É uma daquelas releases que não muda a vida a ninguém de um dia para o outro, mas que evita dores de cabeça sérias a meio da noite. Que é, no fundo, o que se pede a um bom firewall.

Fonte: 9to5Linux