Выпущено обновление 168 ядра IPFire 2.27

IPFire 2.27 Core Update 168 — обновление специализированного дистрибутива для маршрутизаторов и межсетевых экранов. IPFire известен простотой, безопасностью по умолчанию и регулярными обновлениями. Он не пытается быть универсальным сервером: это appliance-система, которую ставят на отдельную машину или виртуальную машину для защиты сети.

Разберём, что даёт обновление, как его установить и что проверить после перезагрузки.

Что такое IPFire

IPFire — Linux-дистрибутив, ориентированный на роль шлюза: файрвол, NAT, VPN, IDS/IPS, прокси, DNS. Он управляется через веб-интерфейс, а пакеты обновляются централизованно. В основе — собственные сборки и политика «минимум лишнего».

Типичное применение — домашняя или небольшая офисная сеть, где нужен контроль трафика и сегментация. IPFire также используют как тестовый стенд для изучения сетевой безопасности.

Что обычно входит в Core Update

• обновления ядра и системных библиотек;
• исправления безопасности;
• обновления пакетов IDS/IPS (Suricata), DNS и прокси;
• улучшения веб-интерфейса и диагностики;
• исправления в работе VPN и сетевых служб.

Список изменений публикуется на сайте проекта. Читайте его перед обновлением, особенно если используете нестандартные конфигурации.

Подготовка к обновлению

Сделайте резервную копию конфигурации через веб-интерфейс или командную строку. Обновление обычно проходит гладко, но шлюз — критичный компонент: без него сеть останется без интернета.

# проверить текущую версию
cat /etc/ipfire-release
uname -r
# место на диске
df -h

Убедитесь, что есть доступ к консоли или IPMI на случай, если веб-интерфейс не поднимется. Для виртуальной машины сделайте снапшот.

Установка

Обновление запускается из веб-интерфейса: System → Pakfire. Можно обновить и из консоли, но веб-интерфейс показывает прогресс и предупреждения.

# пример проверки статуса после обновления
cat /etc/ipfire-release
/usr/local/bin/pakfire list upgradable 2>/dev/null | head

Во время обновления шлюз может перезагрузиться. Предупредите пользователей и не начинайте процесс в рабочие часы.

Проверка после обновления

1. Поднимается ли веб-интерфейс.
2. Работает ли интернет и DNS.
3. Активны ли правила файрвола.
4. Запущены ли IDS/IPS и прокси.
5. Работает ли VPN, если используется.
6. Нет ли ошибок в журналах.

systemctl --failed
journalctl -b -p err
ip a
ip route
ss -tulpn | head -20

Проверьте, что правила NAT и проброс портов сохранились. Иногда после крупных обновлений меняется синтаксис или расположение настроек.

Безопасность шлюза

Шлюз — точка входа в сеть, поэтому его защита важнее, чем у обычной машины. Отключите доступ к веб-интерфейсу из интернета, используйте сильные пароли и, если возможно, двухфакторную аутентификацию.

# проверить, какие порты слушают наружу
ss -tulpn
# посмотреть правила файрвола (пример для iptables)
iptables -S | head -30

Не устанавливайте дополнительные пакеты «на всякий случай»: каждый сервис расширяет поверхность атаки. Если нужна функция, которой нет в IPFire, лучше вынести её на отдельный хост.

Резервное копирование конфигурации

Веб-интерфейс позволяет скачать резервную копию. Делайте это перед каждым обновлением и храните копию вне шлюза. Восстановление конфигурации занимает минуты, повторная настройка — часы.

# пример расположения резервных копий (зависит от версии)
ls -la /var/ipfire/backup/ 2>/dev/null | head

Проверьте, что архив открывается и содержит нужные файлы. Неподтверждённая копия бесполезна.

Когда обновляться

Обновления безопасности ставьте быстро, функциональные — после чтения changelog. Если шлюз обслуживает офис, выберите окно обслуживания и держите план отката.

Для домашней сети достаточно обновляться в выходные и проверять базовую связность. Главное — не откладывать патчи безопасности на месяцы.

Диагностика, если после обновления нет интернета

Самая частая причина — не поднялся интерфейс WAN или не применились правила NAT. Начните с нижних уровней: есть ли линк, получен ли адрес, работает ли маршрут по умолчанию, отвечает ли DNS.

ip -br a
ip route
ping -c 3 1.1.1.1
ping -c 3 linuxmint.su
cat /etc/resolv.conf

Если IP-адрес есть, а пинги не проходят, проверьте правила файрвола и NAT. Иногда после обновления меняется имя интерфейса, и старые правила указывают на несуществующее устройство.

iptables -t nat -S | head -30
iptables -S | grep -i forward
cat /var/log/messages | tail -50

Если не работает DNS, проверьте, запущен ли резолвер и не блокирует ли его файрвол. Для диагностики временно разрешите исходящие UDP-запросы с самого шлюза.

ss -ulpn | grep :53
dig @127.0.0.1 linuxmint.su +short
dig @1.1.1.1 linuxmint.su +short

Планирование отката

IPFire не предлагает кнопку «откатить обновление» так же просто, как некоторые другие системы. Поэтому подготовка важнее реакции. Сохраните конфигурацию, запишите текущую версию и держите установочный образ под рукой.

# зафиксировать состояние до обновления
cat /etc/ipfire-release > ~/ipfire-before.txt
ip -br a >> ~/ipfire-before.txt
iptables-save > ~/iptables-before.rules
cp -a /var/ipfire ~/ipfire-config-backup

Если веб-интерфейс не поднимается, доступ по SSH или консоли должен быть проверен заранее. Пароль root, настроенный только в веб-интерфейсе, может не сработать в однопользовательском режиме.

Для виртуального шлюза снапшот решает проблему за минуту. Для физического устройства держите загрузочную флешку с той же версией, что работала до обновления, и инструкцию по восстановлению конфигурации.

# проверить, что резервная копия читается
tar -tzf /path/to/backup.ipfire 2>/dev/null | head
# или для архива, скачанного из веб-интерфейса
file /path/to/backup.ipfire

И не обновляйте шлюз удалённо без KVM-over-IP или второго канала доступа. Если что-то пойдёт не так, вы потеряете и сеть, и возможность её починить.

Итог

IPFire 2.27 Core Update 168 — плановое обновление с исправлениями и улучшениями. Сохраните конфигурацию, обновитесь в удобное время и проверьте сеть, файрвол и сервисы. Шлюз требует дисциплины: минимум служб, сильные пароли и регулярные патчи.