Странные правила iptables в федоре по умолчанию

В федоре теперь firewalld заведует фаерволлом. У него есть зоны, в том числе и зона trusted, которая принимает всё. Возможно это её правила.

Mожет быть. Но это дефолт.

Чот там дофига сущностей:

block
dmz
drop
external
FedoraServer
FedoraWorkstation
home
internal
public (default, active)
trusted
work

По дефолту была FedoraWorkstation, не пойму в чем прикол. поставил public

firewalld - это надстройка над Netfilter, т.е. читай над iptables.

Потому iptables и показывает правила от firewalld.

Если ничего не путаю, то дефолтные сущности там одинаковые и для Workstation, и для server. Разница только в том, что применяется по-умолчанию.

Это все технические моменты. Firewalld неплох, хотя бы тем, что там есть пресеты, и я могу включить разрешение для mdns не залезая в вики за номером порта и протоколом.

Вопрос был зачем они открыли все порты выше 1025? И я ж правильно понимаю смысл этой настройки? udp dpts:1025:65535 ctstate NEW

смени зону на FedoraServer, там они закрыты.

потому что это правила для workstation дефолтные

По-моему, это нецелесообразно, такие правила. Плохой, плохой дефолт. Это что касается открытия этих портов. А еще глаз дергается, когда к десятку зон (избыточных, на мой взгляд) добавлены еще свои Fedora* да еще и с большой буквы. Опять самому все лепить... Основная зона, Разрешить все, Запретить все - было бы достаточно для дефолта.

на твой взгляд — избыточны. на мой — нет.

по поводу нецелесообразности — http://thread.gmane.org/gmane.linux.redhat.fedora.devel/201978

там больше 50 сообщений в рассылке на эту тему. Если вкратце, не нравится - сам меняй на нужную зону.

Блин, ну вы даете. Я пока все не прочитал. Но ведь «you forget about DLNA sharing, and some more GNOME services.» это не мотив для открытия 1025:65535 по дефолту. Потому что есть firewallD - он и признан решить проблемы открытия портов по запросу, интерактивно для любых пользовательских сервисов и приложений. Зачем городить опасный дефолт-то? Возвращаетесь к iptables, но с другим именем, как было в дистрах, в которых были дефолтом разрешающие все правила?

Дефолтные настройки системы защиты должны быть witelist-ом узкого множества необходимых приложений. Как скоро вы начнете рекомендовать отключить selinux и дефолты разрешающие все ставить? :)

и много ли «пользовательских сервисов и приложений» поддерживают firewalld? вот по этому пока и открыли все порты. когда будет xdg-app, kdbus, тогда и можно будет разговор вести