IPFire 2.29 Core Update 204 corregge il DNS delle VPN e aggiorna Linux

🐧 Novità principali

• IPFire corregge la regressione di Knot Resolver che impediva ai client collegati tramite IPsec, WireGuard e OpenVPN di risolvere i nomi.
• Core Update 204 porta il kernel a Linux 6.18.54, aggiunge Advanced Phishing Protection all’IPS e corregge l’importazione di configurazioni WireGuard multi-subnet.
• Zabbix e Observium ottengono nuovo monitoraggio mentre le build RISC-V vengono ottimizzate per CPU out-of-order compatibili con RVA22 e RVA23.

IPFire 2.29 Core Update 204 interviene sul punto più delicato della precedente migrazione DNS: il rapporto tra Knot Resolver e le VPN. Dopo avere sostituito Unbound nel Core Update 203, il progetto ha scoperto una regressione che impediva ai client collegati attraverso IPsec, WireGuard e OpenVPN di risolvere correttamente i nomi perché le risposte DNS partivano dall’indirizzo sorgente sbagliato. La nuova build corregge il problema intervenendo direttamente sul layer I/O di Knot Resolver e aggiorna contemporaneamente kernel, IPS, WireGuard, strumenti di monitoraggio e numerosi componenti della distribuzione. Al momento della verifica, IPFire continua però a classificare ufficialmente Core Update 204 come release destinata al testing.

Knot Resolver aveva velocizzato il DNS ma rotto la risoluzione attraverso le VPN

Il problema nasce dalla trasformazione introdotta con Core Update 203, quando IPFire ha sostituito Unbound con Knot Resolver come resolver DNS delle reti protette. Il progetto riferisce di avere ricevuto riscontri positivi sulla velocità di risoluzione e sulla scomparsa di alcuni problemi storici, ma la migrazione ha introdotto una regressione importante: i client collegati al firewall tramite tunnel IPsec, WireGuard oppure OpenVPN potevano inviare le richieste DNS senza ricevere una risposta utilizzabile perché Knot Resolver selezionava l’indirizzo IP sorgente errato. Nell’annuncio ufficiale di IPFire Core Update 204 gli sviluppatori spiegano che la correzione ha richiesto modifiche più profonde al livello I/O del resolver, successivamente proposte anche upstream. Non si tratta quindi di aggirare localmente la regressione con una regola specifica del firewall, ma di correggere il comportamento alla base della gestione degli indirizzi. Il precedente Core Update 203 aveva introdotto Knot Resolver proprio per ottenere cache persistente, forwarding condizionale e DNS over TLS: CU204 rappresenta la fase nella quale quella scelta architetturale deve dimostrare di funzionare anche attraverso tutti i percorsi VPN supportati.

Leggi anche: IPFire 2.29 evolve tra VPN, storage e sicurezza della rete

Linux 6.18.54 e Advanced Phishing Protection rafforzano il firewall

Core Update 204 porta inoltre il kernel personalizzato della distribuzione a Linux 6.18.54, incorporando le correzioni di stabilità e sicurezza entrate nel ramo upstream. Sul livello di protezione del traffico arriva invece il ruleset Advanced Phishing Protection realizzato da Julio Lira, che può essere utilizzato come sorgente nel sistema Intrusion Prevention di IPFire. La novità amplia il ruolo dell’IPS accanto al filtraggio DNS: il firewall può quindi intervenire sia sulle destinazioni individuate attraverso la risoluzione dei domini sia sui pattern di traffico rilevati durante il transito. È una direzione già visibile quando IPFire aveva introdotto la propria Domain Blocklist insieme al passaggio a Linux 6.18, trasformando progressivamente DNS, Suricata e policy di rete in livelli complementari della stessa architettura di difesa.

WireGuard corregge l’importazione multi-subnet e il monitoraggio raggiunge Knot

Una correzione operativa interessa WireGuard: i file di configurazione contenenti più subnet separate da uno spazio possono ora essere importati correttamente, eliminando un errore che poteva richiedere modifiche manuali prima dell’integrazione nel firewall. Il tema è rilevante per IPFire perché le VPN non sono più una funzione laterale della distribuzione ma uno dei principali punti di accesso alle reti amministrate, come mostrava già l’evoluzione del supporto WireGuard introdotta nel ciclo IPFire 2.29. Anche la telemetria viene ampliata: Zabbix può raccogliere metriche da Knot Resolver, mentre Observium Agent ottiene la capacità di riportare lo stato del server Apache. Sono modifiche meno appariscenti del cambio di resolver, ma rendono visibili agli amministratori servizi che ora hanno un ruolo diretto nel funzionamento del firewall.

Continua con:

OpenVPN 2.7.7 corregge sette CVE tra TLS, DHCP e servizi Windows

Core Update 204 serve soprattutto a stabilizzare la nuova architettura DNS

La natura dell’aggiornamento emerge infine dalla quantità di componenti riallineati: Knot Resolver 6.4.2, Knot 3.5.6, OpenSSH 10.4p1, OpenSSL 3.6.5, BIND 9.20.24, cURL 8.21.0, systemd 261.1 e Apache 2.4.68 sono soltanto alcune delle versioni integrate, mentre tra gli add-on vengono aggiornati ClamAV, HAProxy, Postfix, rsync, tshark e altri strumenti. Le build sperimentali RISC-V vengono inoltre ottimizzate per processori out-of-order mantenendo la baseline RVA22 e sfruttando miglioramenti disponibili con RVA23. Il dato centrale resta però Knot Resolver: Core Update 203 aveva cambiato un componente fondamentale dell’infrastruttura DNS, mentre CU204 corregge la prima regressione significativa prodotta da quella migrazione. È precisamente il tipo di problema che giustifica una fase di testing prima della distribuzione generalizzata: su un firewall, una risposta DNS proveniente dall’interfaccia sbagliata non è un dettaglio applicativo, ma può rendere inutilizzabile l’accesso remoto a intere reti.