denozord/EvoFirewall

Fork 0

Files

T

Denozordec 68d9246158

Build and Push EvoFirewall Docker Image / build-and-push (push) Successful in 1m43s

Details

Build and Push EvoFirewall Docker Image / create-release (push) Skipped

Details

fix(api): improve error handling and quoting in agent scripts

- Updated `evofw-firewall.sh` to correctly handle exit codes from the `curl_policy` function, ensuring proper script termination based on policy retrieval status.
- Enhanced `install.sh` to always use single quotes for configuration values, improving safety for names with spaces, and refined the logic for updating the `KERNEL_BACKEND` in the configuration file.
- Updated documentation to reflect the changes in quoting and exit behavior during installation and synchronization processes.

2026-07-21 23:18:03 +07:00

3.1 KiB

Raw Blame History

Agents

Short install (рекомендуется)

В UI /agents → Добавить агента:

Создаётся агент со статусом Invited (сразу виден в таблице) + install-ссылка.
Скопируйте one-liner (колонка Install или Sheet):

Linux:

curl -fsSL https://<cp>/agent-install/<id> | bash

MikroTik:

/tool fetch url="https://<cp>/agent-install/<id>" dst-path=evofw-install.rsc; /import file-name=evofw-install.rsc

После enroll статус станет Pending — одобрите агента (Approve).
Approved — агент синхронизирует политику.

API (auth): POST /api/v1/install-links { "name": "web-01", "platform": "linux" | "mikrotik" }.

Linux (legacy one-liner)

curl -fsSL https://<cp>/v1/agent/install.sh | \
  EVOFW_CP_URL=https://<cp> \
  EVOFW_SEED=<seed> \
  EVOFW_CLIENT_NAME="web-01" \
  bash

Создаёт нового агента со статусом Pending (без Invited).

Файлы: /etc/evofw/agent.conf, /usr/local/sbin/evofw-firewall.sh, timer evofw-firewall.timer (default 1min).

Install сам ставит зависимости через apt/dnf/yum/apk: curl, jq (или python3), nftables/iptables(+ipset). Планировщик: systemd timer если есть /run/systemd/system, иначе ставит cron/cronie и пишет crontab. Значения в agent.conf всегда в single quotes (имена с пробелами безопасны). Sync при статусе pending завершается с exit 0 (pending approval), чтобы systemd timer не был failed.

Uninstall (Linux):

curl -fsSL https://<cp>/v1/agent/uninstall.sh | bash
# или локально после install:
sudo /usr/local/sbin/evofw-uninstall.sh

Backend auto-detect: nft → ipset → iptables.

Whitelist: nft chain policy drop + allow set. Blacklist: policy accept + deny set.

MikroTik (RouterOS 7.21+)

В UI /agents → Добавить агента → platform MikroTik. Скопируйте one-liner:

/tool fetch url="https://<cp>/agent-install/<id>" dst-path=evofw-install.rsc; /import file-name=evofw-install.rsc

Или короткий slug: https://<cp>/<slug>.

Install RSC:

Enroll (с install_link_id → агент Invited → Pending).
Создаёт filter-правила evofw-* и address-list EVOFW_DENY / EVOFW_ALLOW.
Scheduler evofw-sync каждую минуту: GET /v1/agent/policy.rsc → /import (списки + режим).

Режим фильтра задаётся на наборе правил (/rules), не на агенте:

blacklist — по умолчанию ACCEPT; deny-CIDR блокируются
whitelist — по умолчанию DROP (forward); только allow-CIDR

Все наборы, назначенные агенту, должны иметь один режим.

Force sync

sudo rm -f /var/lib/evofw/last_hash
sudo /usr/local/sbin/evofw-firewall.sh

3.1 KiB Raw Blame History Unescape Escape