Added a community selection feature to the firewall rules management UI, allowing users to specify BGP communities for block/accept policies. Updated the backend to support reading firewall scripts from a specified directory, improving script management. Enhanced documentation to clarify the new community functionality and its implications for firewall rules. Additionally, introduced tests for the firewall script endpoints to ensure proper functionality.

2026-07-08 17:50:38 +07:00

2.1 KiB

Raw Blame History

Firewall blocklist

Подсистема синхронизации blocklist на произвольные Linux-серверы через bash-скрипт и HTTP API.

Авторизация

Enroll — POST /v1/firewall/enroll с заголовком X-EvoBGP-Seed (значение EVOBGP_BUNDLE_SEED_HEX на CP). Клиент генерирует токен evobgp_fw_* локально.
Approve — operator в Web UI (/firewall → Запросы).
Sync — GET /v1/firewall/blocklist с Authorization: Bearer <client_token>.

Политика block/accept

block — добавить префиксы выбранного BGP community в kernel blocklist.
accept — не блокировать префиксы этого community.
Community — правило применяется к префиксам с этим community_id в опубликованной revision; пустое значение («Все») — ко всем communities.
Default — accept (пустой blocklist без явных block).

Порядок: сначала per-server overrides клиента, затем tenant-default. Для каждого community берётся первое подходящее правило по приоритету.

Справочник communities: Web UI → Справочники, или модули с привязкой community к префиксам.

Установка на сервер

curl -fsSL https://<api>/v1/firewall/install.sh | \
  EVOBGP_CP_URL=https://<api> \
  EVOBGP_SEED=<bundle_seed_hex> \
  EVOBGP_CLIENT_NAME="web-01" \
  bash

Файлы: /etc/evobgp/firewall.conf, /usr/local/sbin/evobgp-firewall.sh, systemd timer evobgp-firewall.timer.

Failover через speaker

При EVOBGP_FIREWALL_FAILOVER_ENABLED=1 на speaker-agent CP реплицирует состояние через POST /v1/agent/firewall-replicate. Клиенты используют тот же DNS-домен.

См. также access.md, remote-speakers.md.

2.1 KiB Raw Blame History Unescape Escape