News

Il team di sviluppo di IPFire ha annunciato la disponibilità del Core Update 203 per la versione 2.29, un aggiornamento che rappresenta uno dei cambiamenti architetturali più importanti degli ultimi anni.

Il protagonista assoluto di questa release è la completa revisione del sottosistema DNS: Unbound lascia il posto a Knot Resolver, una scelta strategica che non si limita a sostituire il resolver esistente, ma introduce una piattaforma moderna, modulare ed estensibile sulla quale costruire le future funzionalità di sicurezza di IPFire.

Accanto a questa importante novità troviamo il supporto alla banda 6 GHz per l'access point integrato, numerosi miglioramenti di sicurezza, aggiornamenti dei principali componenti software e diversi affinamenti dell'interfaccia e dell'infrastruttura di sistema.

Considerata la portata delle modifiche, gli sviluppatori hanno ringraziato la community che ha partecipato al programma di testing della Release Candidate, contribuendo con feedback e segnalazioni fondamentali per la stabilità della versione finale.

Il DNS entra in una nuova era: da Unbound a Knot Resolver

La novità più significativa del Core Update 203 è senza dubbio la migrazione da Unbound a Knot Resolver.

Per anni Unbound ha rappresentato una soluzione affidabile e performante per la risoluzione DNS di IPFire. Tuttavia il ruolo del DNS nelle moderne infrastrutture di rete è profondamente cambiato. Oggi non si limita più alla semplice traduzione dei nomi di dominio in indirizzi IP, ma costituisce uno degli elementi centrali per la sicurezza, la privacy e l'automazione delle connessioni.

Sempre più protocolli sfruttano il DNS per pubblicare informazioni necessarie alla negoziazione di connessioni cifrate, alla distribuzione di policy di sicurezza e alla gestione di servizi avanzati.

Per supportare questa evoluzione, il team di sviluppo ha scelto Knot Resolver, una piattaforma caratterizzata da un'architettura modulare e altamente programmabile che permette un'integrazione molto più profonda con il firewall.

Le nuove funzionalità disponibili

Il nuovo resolver introduce numerose caratteristiche che ampliano sensibilmente le capacità di IPFire.

DNS over TLS (DoT)

Le richieste DNS verso i resolver upstream possono ora essere inoltrate utilizzando DNS over TLS, garantendo la cifratura del traffico DNS durante il transito.

Questo impedisce intercettazioni, manipolazioni delle query e attività di DNS spoofing lungo il percorso di rete, migliorando sensibilmente la riservatezza delle comunicazioni.

Firewall DNS integrato

Tra le funzionalità più interessanti troviamo il nuovo DNS Firewall, che consente di bloccare:

• domini malevoli;
• server di Command & Control;
• reti pubblicitarie;
• tracker;
• intere categorie di domini indesiderati.

L'approccio DNS-based permette di interrompere le comunicazioni prima ancora che venga stabilita una connessione TCP o UDP verso il server remoto, riducendo il traffico indesiderato e migliorando la sicurezza complessiva della rete.

Zone di filtro distribuite in modo sicuro

Per mantenere aggiornate le blacklist e le policy del firewall DNS è stato sviluppato un nuovo componente denominato zone-sync, scritto interamente in linguaggio C.

Lo strumento scarica gli aggiornamenti delle zone attraverso connessioni cifrate TLS e utilizza aggiornamenti incrementali, riducendo la quantità di dati trasferiti e impedendo eventuali alterazioni durante il trasporto.

SafeSearch centralizzato

Gli amministratori possono ora forzare automaticamente la modalità SafeSearch sui principali motori di ricerca e su YouTube.

L'impostazione viene applicata a livello DNS, senza richiedere configurazioni sui singoli dispositivi della rete.

Conditional Forwarding

Rimane disponibile il forwarding condizionale delle query DNS verso resolver differenti in base alla zona richiesta, caratteristica particolarmente utile in ambienti enterprise, VPN site-to-site e infrastrutture ibride.

Importante: da questa versione le zone di inoltro non possono più essere configurate utilizzando nomi FQDN. Tutti i forwarder dovranno essere specificati esclusivamente tramite indirizzo IP.

Override DNS locali

Continua ad essere disponibile la possibilità di definire record DNS personalizzati per host interni, semplificando la gestione dei servizi locali.

Integrazione completa con DHCP

È stato sviluppato un nuovo modulo dedicato che integra direttamente il servizio DHCP con Knot Resolver.

Questo sostituisce il precedente Unbound DHCP Leases Bridge, mantenendo inalterata la compatibilità ma offrendo un'integrazione molto più pulita ed efficiente.

Miglioramenti interni del resolver

Oltre alle funzionalità visibili, Knot Resolver introduce importanti ottimizzazioni architetturali.

Cache persistente

La cache DNS viene ora mantenuta anche dopo il riavvio del sistema.

Questo consente tempi di risposta significativamente inferiori immediatamente dopo il boot, riducendo contemporaneamente il numero di interrogazioni verso i resolver upstream.

Architettura multi-processo

Knot Resolver utilizza un modello basato su worker multipli che condividono cache e stato interno.

A differenza di altri resolver che mantengono cache separate per ogni processo, questa architettura sfrutta in modo molto più efficiente i sistemi multicore evitando duplicazioni dei dati e migliorando la scalabilità.

Wi-Fi: arriva il supporto alla banda a 6 GHz

Il Core Update 203 introduce anche il supporto alla banda 6 GHz, rendendo IPFire compatibile con gli standard Wi-Fi 6E e Wi-Fi 7.

L'apertura della nuova porzione di spettro radio offre vantaggi concreti nelle installazioni moderne.

Minori interferenze

La banda a 6 GHz è ancora poco congestionata rispetto ai tradizionali 2,4 e 5 GHz.

Ciò significa un ambiente radio molto più pulito, con una drastica riduzione delle interferenze generate da dispositivi legacy.

Canali più ampi

Lo spettro disponibile consente l'utilizzo di numerosi canali da 80 MHz e 160 MHz, permettendo throughput superiori e migliori prestazioni anche in scenari ad alta densità di client.

Nessun vincolo DFS

A differenza di parte della banda 5 GHz, il funzionamento sui 6 GHz non richiede il meccanismo DFS (Dynamic Frequency Selection).

L'access point può quindi entrare immediatamente in funzione senza dover attendere la scansione radar e senza il rischio di cambi di canale improvvisi durante il funzionamento.

È stato inoltre corretto un bug che impediva l'avvio dell'access point quando veniva configurata una larghezza di banda di 40 MHz insieme alla selezione manuale del canale.

Altri miglioramenti introdotti

Il Core Update 203 include numerosi affinamenti dell'infrastruttura.

Tra i più significativi troviamo:

• supporto ad AWS IMDSv2, consentendo a IPFire di recuperare correttamente i metadati delle istanze Amazon EC2 utilizzando il servizio token-based raccomandato da AWS;
• aggiornamento del microcodice Intel alla versione 20260512, che corregge la vulnerabilità INTEL-SA-01420;
• correzione di un problema di Perl relativo alla codifica UTF-8, che ripristina la corretta visualizzazione dei caratteri internazionali nell'interfaccia Web;
• miglioramenti all'interfaccia di OpenVPN, con una nuova icona per il download delle configurazioni e una migliore identificazione delle subnet associate ai client Roadwarrior con indirizzi statici;
• ripristino dell'ascolto di sysklogd su localhost, semplificando il logging dei processi eseguiti in ambienti chroot.

Aggiornamenti software

Come da tradizione, il Core Update 203 aggiorna anche un elevato numero di componenti fondamentali del sistema.

Tra i principali troviamo:

• OpenVPN 2.7.4
• StrongSwan 6.0.7
• Suricata 8.0.6
• SQLite 3.53.1
• GRUB 2.14
• Boost 1.90
• Coreutils 9.11
• Vim 9.2
• BIND 9.20.23
• LuaJIT 2.1
• LVM2 2.03.41
• btrfs-progs 7.0
• util-linux 2.42

Sono stati aggiornati anche numerosi componenti aggiuntivi, tra cui dnsdist, Samba, Postfix, Rsync, tmux, Wireshark/TShark e Zabbix Agent, quest'ultimo con miglioramenti specifici per il monitoraggio di OpenVPN 2.7 e della gestione degli errori di ping.

Conclusioni

Il Core Update 203 rappresenta molto più di un semplice aggiornamento di manutenzione.

La migrazione a Knot Resolver costituisce una profonda evoluzione dell'architettura DNS di IPFire e pone le basi per future funzionalità orientate alla sicurezza, alla privacy e all'automazione delle reti.

Dietro questa release si nascondono mesi di sviluppo che hanno portato alla riscrittura di una parte critica del sistema, alla realizzazione di nuovi moduli dedicati e allo sviluppo di strumenti come zone-sync, progettati per offrire un'infrastruttura DNS più moderna, scalabile e sicura.

Per gli amministratori di sistema e per chi utilizza IPFire in ambienti professionali, il Core Update 203 rappresenta probabilmente uno degli aggiornamenti più importanti degli ultimi anni.

 Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Ehi, appassionato di tecnologia!  Sei pronto a dare una svolta alla tua carriera con la certificazione IPFire?

È un’opportunità imperdibile! Se sei interessato, contatta il fantastico staff di IPFire Italia.

Per ottenere la certificazione, dovrai sostenere un esame online, e una volta superato, riceverai il tuo attestato direttamente da noi.

Certificazione IPFire

Vuoi unirti alla nostra squadra? Non essere timido! Scrivici attraverso il modulo che trovi qui e assicurati di lasciare un recapito telefonico per poterti ricontattare.

E non dimenticare: puoi anche supportare il progetto IPFire Italia con un piccolo contributo economico tramite PayPal. Ogni aiuto conta!

La nuova release IPFire 2.29 Core Update 202 segna uno degli aggiornamenti più significativi degli ultimi mesi per la celebre distribuzione firewall open source.

Questa versione non si limita a introdurre patch di routine: rappresenta un intervento strutturale focalizzato su sicurezza avanzata, hardening del kernel Linux e ottimizzazione radicale delle prestazioni VPN.

Il team di sviluppo ha integrato le più recenti correzioni per vulnerabilità critiche del kernel Linux, aggiornato l’intero stack crittografico e introdotto il supporto a OpenVPN 2.7 con Data Channel Offloading (DCO), una tecnologia destinata a cambiare concretamente il throughput dei tunnel VPN.

L’aggiornamento è fortemente raccomandato per tutti gli ambienti produttivi, soprattutto alla luce dell’elevato numero di vulnerabilità pubblicate nelle ultime settimane.

Kernel Linux 6.18.32: focus sulla mitigazione delle minacce critiche

Uno degli elementi centrali della release è il passaggio al nuovo kernel Linux 6.18.32, progettato per correggere diverse vulnerabilità ad alto impatto recentemente divulgate.

Tra le più rilevanti troviamo:

Dirty Frag – ESP/IPsec (CVE-2026-43284)

Scoperta il 7 maggio 2026, questa vulnerabilità interessa il modulo ESP utilizzato da IPsec e consente un’escalation locale dei privilegi fino ai permessi root. In scenari Linux tradizionali, un utente non privilegiato potrebbe sfruttare il difetto per compromettere completamente il sistema.

Copy Fail (CVE-2026-31431)

Pubblicata il 29 aprile 2026, questa falla coinvolge il sottosistema crittografico del kernel Linux.

Il problema consente a utenti locali non privilegiati di ottenere privilegi elevati attraverso exploit estremamente compatti e facilmente integrabili.

Secondo gli sviluppatori, la vulnerabilità interessa praticamente tutte le distribuzioni Linux che utilizzano kernel compilati dal 2017 in avanti.

Perché IPFire resta meno esposto

Nonostante la gravità delle vulnerabilità, IPFire mantiene un profilo di rischio inferiore rispetto a molte distribuzioni general purpose grazie alla sua architettura fortemente orientata alla sicurezza.

Le vulnerabilità richiedono infatti:

• accesso locale al sistema;
• una shell non privilegiata;
• la possibilità di eseguire codice sul firewall.

IPFire, per design, non espone account shell non privilegiati: l’accesso console resta limitato esclusivamente all’amministratore.

Tuttavia, il team sottolinea un principio fondamentale della cybersecurity moderna: la difesa multilivello.

Anche quando un sistema non appare direttamente vulnerabile, mantenere costantemente aggiornato il software rappresenta una misura essenziale per prevenire futuri vettori di attacco.

OpenVPN 2.7: arriva il Data Channel Offloading

Uno degli aggiornamenti tecnologicamente più interessanti di questa release è senza dubbio l’introduzione di OpenVPN 2.7.

La novità principale è il supporto al Data Channel Offloading (DCO), una funzionalità che trasferisce la gestione della cifratura direttamente al kernel Linux.

Tradizionalmente, il traffico VPN veniva elaborato dal demone OpenVPN in userspace, introducendo overhead CPU e latenza. Con DCO, invece:

• la cifratura avviene direttamente nel kernel;
• diminuisce drasticamente il context switching;
• viene sfruttata in modo più efficiente l’accelerazione hardware crittografica.

Il risultato è impressionante:

• throughput aumentato da circa 1 Gbit/s fino a 10 Gbit/s per tunnel;
• riduzione sensibile del jitter;
• minore utilizzo della CPU;
• maggiore stabilità sotto carico elevato.

Per infrastrutture enterprise, datacenter e ambienti ad alta densità di traffico, questo rappresenta un salto generazionale nelle performance VPN.

Firewall, IPS e DNS: ottimizzazioni operative

Core Update 202 introduce anche una lunga serie di miglioramenti operativi e correzioni infrastrutturali.

Tra i più importanti:

• corretta la gestione delle porte multiple nelle regole firewall separate da virgole;
• ottimizzato il sistema IPS, che ora elimina automaticamente log e statistiche eccessivamente voluminosi;
• rotazione giornaliera dei log per ridurre il consumo disco;
• migliorata la gestione del proxy DNS, che ora consente traffico in uscita senza regole firewall aggiuntive;
• corretto un bug in IPsec che lasciava regole firewall ridondanti dopo la chiusura dei tunnel.

Particolare attenzione anche a una vulnerabilità rilevata in glibc relativa alla gestione delle risposte DNS inverse, potenzialmente sfruttabile per manipolare hostname restituiti ai processi applicativi e alterare sistemi di logging o controllo accessi.

Ecosistema software aggiornato

La release aggiorna un numero estremamente elevato di componenti strategici del sistema, tra cui:

• Apache 2.4.67
• OpenSSL 3.6.2
• OpenSSH 10.3p1
• Suricata 8.0.5
• StrongSwan 6.0.6
• systemd 260.1
• WireGuard Tools
• SQLite 3.53.0
• BIND 9.20.22
• cURL 8.20.0

L’aggiornamento esteso dell’intera toolchain rafforza ulteriormente il profilo di sicurezza della piattaforma.

Add-on sotto osservazione: corrette vulnerabilità in Samba e moduli web

Anche i componenti aggiuntivi ricevono importanti correzioni di sicurezza.

Il ricercatore noto come valent1 ha segnalato due vulnerabilità in Samba:

• una falla nella validazione degli input durante il join di dominio;
• un problema nell’escape dei comandi shell che poteva consentire escalation di privilegi fino a root.

Entrambe risultano corrette in questa release.

Corretta inoltre una vulnerabilità XSS nel modulo “Chi è online?”, sfruttabile da utenti autenticati.

Aggiornamento fortemente consigliato

Con l’emergere di vulnerabilità come Dirty Frag, Copy Fail e Fragnesia, il panorama Linux continua a dimostrare quanto la superficie d’attacco dei sistemi moderni sia in continua evoluzione.

IPFire 2.29 Core Update 202 non rappresenta soltanto un aggiornamento di manutenzione, ma un importante passo avanti in termini di:

• resilienza;
• prestazioni;
• sicurezza infrastrutturale;
• modernizzazione dello stack VPN.

Gli amministratori di sistema sono invitati ad aggiornare i propri firewall il prima possibile e a riavviare il sistema al termine dell’installazione per applicare completamente le nuove mitigazioni del kernel.

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Ehi, appassionato di tecnologia!  Sei pronto a dare una svolta alla tua carriera con la certificazione IPFire?

È un’opportunità imperdibile! Se sei interessato, contatta il fantastico staff di IPFire Italia.

Per ottenere la certificazione, dovrai sostenere un esame online, e una volta superato, riceverai il tuo attestato direttamente da noi.

Certificazione IPFire

Vuoi unirti alla nostra squadra? Non essere timido! Scrivici attraverso il modulo che trovi qui e assicurati di lasciare un recapito telefonico per poterti ricontattare.

E non dimenticare: puoi anche supportare il progetto IPFire Italia con un piccolo contributo economico tramite PayPal. Ogni aiuto conta!

Il rilascio di IPFire 2.29 – Core Update 201 rappresenta una milestone tecnologica di rilievo nell’evoluzione della piattaforma.

Non si tratta di un semplice aggiornamento incrementale, ma di una revisione sostanziale delle capacità del sistema, con un impatto diretto sulla postura di sicurezza delle infrastrutture di rete.

L’elemento cardine di questa release è l’introduzione del Firewall DNS, una funzionalità nativamente integrata che ridefinisce il paradigma di protezione perimetrale, spostando il controllo delle minacce a monte del traffico applicativo.

Evoluzione del modello di sicurezza: il Firewall DNS

Con questa versione, IPFire abbandona il modello reattivo basato sull’ispezione del traffico già stabilito, introducendo un approccio proattivo e preventivo.

Il Firewall DNS agisce direttamente nel processo di risoluzione dei nomi, intercettando e valutando ogni richiesta prima che venga instaurata qualsiasi connessione.

Questo consente di:

• Bloccare malware, phishing e domini malevoli a livello DNS
• Eliminare traffico indesiderato (advertising, tracking, contenuti non autorizzati)
• Ridurre la superficie di attacco impedendo connessioni verso endpoint compromessi
• Migliorare le performance complessive evitando traffico superfluo

Dal punto di vista architetturale, il firewall si trasforma da semplice filtro di pacchetti a controllore semantico delle richieste di rete.

Architettura e funzionamento

Il meccanismo operativo si basa sull’integrazione diretta con il proxy DNS interno.

Tutte le richieste generate dai client vengono instradate attraverso questo componente, che agisce come punto di controllo centralizzato.

Il flusso logico è il seguente:

1. Il client invia una query DNS
2. Il proxy DNS intercetta la richiesta
3. Il Firewall DNS confronta il dominio con il database IPFire DBL
4. In caso di match:
   • viene restituita una risposta NXDOMAIN
   • la connessione viene interrotta prima di iniziare
5. In caso contrario:
   • la risoluzione procede normalmente

L’utilizzo della risposta NXDOMAIN è particolarmente efficace: dal punto di vista del client, il dominio non esiste, eliminando qualsiasi tentativo successivo di connessione o retry.

IPFire DBL e aggiornamenti incrementali IXFR

Uno degli elementi distintivi di questa implementazione è l’utilizzo di IPFire DBL (Domain Block List), un database strutturato e categorizzato di domini malevoli.

Le caratteristiche principali includono:

• Aggiornamenti continui e curati
• Classificazione per categorie di minaccia
• Integrazione diretta nel resolver DNS

L’aggiornamento delle liste avviene tramite protocollo IXFR (Incremental Zone Transfer), che introduce vantaggi significativi:

• Aggiornamenti frequenti (tipicamente entro un’ora)
• Ridotto consumo di banda
• Nessuna necessità di intervento manuale
• Sincronizzazione efficiente e scalabile

Questo approccio garantisce una protezione sempre aggiornata senza impatti operativi.

Superamento dei modelli tradizionali

L’introduzione del Firewall DNS rende obsoleti diversi approcci legacy:

Limiti del filtro URL tradizionale

• Dipendenza da configurazioni proxy lato client
• Complessità nell’ispezione HTTPS
• Inefficacia rispetto alle moderne architetture web

Ridondanza di soluzioni esterne

L’utilizzo di sistemi separati per il filtering DNS comportava:

• Maggiore complessità gestionale
• Aumento della superficie di attacco
• Overhead infrastrutturale

Con questa release, IPFire consolida tutte le funzionalità in un unico punto, riducendo la frammentazione e migliorando la coerenza operativa.

Miglioramenti infrastrutturali e aggiornamento toolchain

Oltre alla nuova funzionalità principale, il Core Update 201 introduce una serie di miglioramenti strutturali che rafforzano l’intero ecosistema:

Aggiornamento toolchain

• glibc 2.43
• GNU binutils 2.46.0

Questi aggiornamenti garantiscono:

• Miglior supporto hardware
• Ottimizzazioni a livello di compilazione
• Rafforzamento delle misure di sicurezza di base

Hardening e stabilità

• Introduzione del flag --wait nelle regole firewall per prevenire race condition
• Riduzione della superficie di attacco tramite rimozione di componenti non necessari (es. Rust non utilizzato)
• Miglioramenti al sistema di installazione e gestione storage

Sistema IDS migliorato

• Reporting configurabile su base temporale (giornaliero, settimanale, mensile)
• Maggiore flessibilità per ambienti multi-team

Aggiornamenti pacchetti e componenti

La release include un aggiornamento esteso dei pacchetti di sistema, con focus su:

• Sicurezza (OpenSSL, OpenVPN, PAM)
• Networking (iptables, conntrack-tools)
• Sistema base (coreutils, glibc, ncurses)
• Strumenti di sviluppo e diagnostica

Inoltre:

• Aggiornamenti ai componenti aggiuntivi (Git, Samba, Postfix, tshark)
• Miglioramenti al modulo wireless
• Rimozione di software non più mantenuto (es. 7zip), in linea con le policy di sicurezza

Impatto operativo e considerazioni finali

Questa release rappresenta il risultato di un’evoluzione pluriennale, che ha portato alla convergenza di:

• Database di threat intelligence
• Ottimizzazione dei meccanismi DNS
• Integrazione nativa nel firewall

Il risultato è una piattaforma più:

• Sicura, grazie al blocco preventivo delle minacce
• Efficiente, grazie alla riduzione del traffico inutile
• Semplice da gestire, grazie all’eliminazione di componenti esterni

Raccomandazioni

Si consiglia di:

• Installare l’aggiornamento tramite il sistema di gestione pacchetti
• Riavviare il sistema per applicare completamente le modifiche
• Monitorare eventuali anomalie e segnalarle tramite i canali ufficiali

Questa versione non introduce solo nuove funzionalità, ma ridefinisce il ruolo del firewall moderno: da elemento passivo di controllo del traffico a componente attivo di intelligence e prevenzione.

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Ehi, appassionato di tecnologia!  Sei pronto a dare una svolta alla tua carriera con la certificazione IPFire?

È un’opportunità imperdibile! Se sei interessato, contatta il fantastico staff di IPFire Italia.

Per ottenere la certificazione, dovrai sostenere un esame online, e una volta superato, riceverai il tuo attestato direttamente da noi.

Certificazione IPFire

Vuoi unirti alla nostra squadra? Non essere timido! Scrivici attraverso il modulo che trovi qui e assicurati di lasciare un recapito telefonico per poterti ricontattare. E non dimenticare: puoi anche supportare il progetto IPFire Italia con un piccolo contributo economico tramite PayPal. Ogni aiuto conta!

Siamo lieti di annunciare il rilascio di IPFire 2.29 – Core Update 200, un aggiornamento di rilievo che rappresenta un traguardo significativo nel ciclo di sviluppo del progetto.
Questa release introduce il kernel Linux 6.18 LTS, una preview tecnologica di IPFire DBL (Domain Blocklist), numerosi aggiornamenti dei pacchetti di sistema, ottimizzazioni prestazionali, correzioni di sicurezza e ulteriori miglioramenti architetturali.

Il raggiungimento del 200° aggiornamento principale è stato possibile grazie al contributo continuo della community: feedback, segnalazioni e supporto economico hanno giocato un ruolo fondamentale nel garantire qualità e affidabilità alla piattaforma.

Anteprima IPFire DBL e roadmap verso il firewall DNS

Con questa versione viene introdotta una anteprima di IPFire DBL (Domain Blocklist), un nuovo database proprietario progettato per il blocco centralizzato dei domini malevoli o indesiderati.

IPFire DBL costituisce la base per un obiettivo strategico più ampio: la realizzazione di un firewall DNS nativo completamente integrato.
Questo componente fornirà funzionalità avanzate di content filtering a livello DNS, consentendo il blocco di:

• pubblicità invasive
• malware e infrastrutture C2
• contenuti indesiderati o non conformi alle policy aziendali

tutto direttamente all’interno di IPFire, senza la necessità di soluzioni esterne.

Kernel Linux 6.18 LTS

Il kernel di IPFire è stato ribasato su Linux 6.18.7 LTS, introducendo:

• miglioramenti alla sicurezza del kernel
• ottimizzazioni delle prestazioni di rete (throughput e latenza)
• capacità di packet filtering avanzato
• mitigazioni aggiornate per vulnerabilità hardware note

Deprecazione di ReiserFS

Il supporto per ReiserFS è stato deprecato dal kernel Linux.
Le installazioni IPFire basate su questo filesystem non potranno procedere con l’aggiornamento e richiederanno una reinstallazione completa su un filesystem supportato (es. ext4, XFS).

IPFire DBL – Domain Blocklist

A seguito del ritiro della Shalla List, IPFire necessitava di una fonte affidabile e mantenuta per il filtraggio dei domini. IPFire DBL nasce per rispondere a questa esigenza e sarà inizialmente integrato in due componenti chiave:

Integrazioni disponibili

• Filtro URL (Web Proxy)
  IPFire DBL può essere utilizzato per bloccare l’accesso ai domini vietati tramite proxy HTTP/HTTPS.
• Suricata (IDS/IPS)
  IPFire diventa fornitore diretto di regole Suricata, consentendo:
  • ispezione approfondita (DPI)
  • enforcement delle policy su DNS, TLS, HTTP e QUIC
  • maggiore efficacia nel blocco delle comunicazioni verso domini proibiti

Attualmente IPFire DBL è in fase beta iniziale: feedback e contributi sono fortemente incoraggiati.

Miglioramenti e modifiche varie

Sistema di prevenzione delle intrusioni (IDS/IPS)

• Risolta la crescita illimitata della cache delle firme Suricata tramite backport di una patch di pulizia automatica.
• Il reporter ora include hostname e metadati per traffico DNS/HTTP/TLS/QUIC nelle email di allerta e nei report PDF.

OpenVPN

• MTU ora gestita dal server e non più inclusa nella configurazione client.
• Token OTP inviato dal server se il client supporta l’autenticazione a due fattori.
• Rimozione della CA dai file client (già inclusa nel PKCS#12) per migliorare la compatibilità con NetworkManager.

Access Point wireless

• Ripristinato il supporto 802.11a/g
• Riduzione del logging di debug non intenzionale
• Accettazione di PSK con caratteri speciali

DNS e networking

• Unbound ora utilizza un thread per core CPU, migliorando i tempi di risposta.
• PPP invia pacchetti LCP keep-alive solo in assenza di traffico, riducendo l’overhead su DSL e reti mobili.
• Miglioramenti di coerenza nella visualizzazione della legenda DNS nella UI.

Sicurezza e aggiornamenti critici

OpenSSL

Aggiornato a OpenSSL 3.6.1, con patch per numerose vulnerabilità di sicurezza (CVE 2025–2026).

glibc

Patch di sicurezza applicate per:

• CVE-2026-0861
• CVE-2026-0915
• CVE-2025-15281

Aggiornamenti dei pacchetti

Sono stati aggiornati numerosi pacchetti core e add-on, tra cui:

• Apache 2.4.66
• OpenVPN 2.6.17
• OpenSSL 3.6.1
• Suricata 8.0.3
• Unbound 1.24.2
• Rust 1.92.0
• Samba 4.23.4
• Tor 0.4.8.21

Per maggiori dettagli potete visitare il sito ufficiale al seguente link.

Per poter scaricare l'aggiornamento a questo link

Ehi, appassionato di tecnologia!  Sei pronto a dare una svolta alla tua carriera con la certificazione IPFire?

È un’opportunità imperdibile! Se sei interessato, contatta il fantastico staff di IPFire Italia.

Per ottenere la certificazione, dovrai sostenere un esame online, e una volta superato, riceverai il tuo attestato direttamente da noi.

Certificazione IPFire

Vuoi unirti alla nostra squadra? Non essere timido! Scrivici attraverso il modulo che trovi qui e assicurati di lasciare un recapito telefonico per poterti ricontattare. E non dimenticare: puoi anche supportare il progetto IPFire Italia con un piccolo contributo economico tramite PayPal. Ogni aiuto conta!

Nel mondo della sicurezza di rete, il filtraggio dei domini è una di quelle funzionalità fondamentali che tutti danno per scontata… finché non smette di funzionare come dovrebbe. Liste troppo grandi, decisioni opache, consumo eccessivo di risorse e, non ultimo, dubbi legali sulla provenienza dei dati: problemi noti a chiunque gestisca firewall, resolver DNS o infrastrutture di rete anche solo mediamente complesse.

È proprio da qui che nasce IPFire DBL (Domain Blocklist): una nuova soluzione di blocco dei domini, sviluppata da zero, gestita dalla community e progettata per restituire agli utenti il pieno controllo sulle policy di filtraggio.

Perché una nuova Domain Blocklist?

Negli anni il team IPFire ha analizzato sia soluzioni commerciali sia alternative gratuite. Il risultato? Nessuna rispondeva davvero alle esigenze reali degli utenti. L’approccio dominante è quello della blocklist monolitica: milioni di domini inseriti in un unico elenco “onnicomprensivo”, buono (forse) per tutti ma ottimale per nessuno.

Dal punto di vista tecnico questo significa:

• spreco di memoria sui resolver DNS,
• latenza inutile nelle risposte,
• zero flessibilità nelle decisioni di blocco.

Ancora più preoccupante, molte liste aggregano dati da fonti terze senza un chiaro diritto di ridistribuzione, esponendo gli utenti a potenziali problemi di compliance legale.

IPFire DBL nasce per risolvere tutti questi aspetti.

I principi alla base di IPFire DBL

Categorizzazione, non imposizione

Il cuore di IPFire DBL è un concetto semplice ma potente: non esiste una policy di blocco valida per tutti.
Invece di imporre decisioni prese da altri, IPFire DBL organizza milioni di domini in categorie funzionali, lasciando all’amministratore la scelta finale.

Vuoi bloccare:

• malware e phishing,
• ma consentire giochi online?

Oppure:

• pornografia e gioco d’azzardo,
• mantenendo accesso a social e piattaforme educative?

Con IPFire DBL è possibile, perché la logica è modulare.

Le categorie attualmente disponibili

Le liste curate includono, tra le altre:

• Malware
  Blocca domini malevoli prima che possano distribuire payload o stabilire canali di Command & Control (C2).
• Phishing
  Protezione a livello di rete contro il furto di credenziali, indipendentemente dal dispositivo utilizzato.
• Pubblicità
  Riduzione del tracciamento, recupero di banda e miglioramento della privacy direttamente alla fonte DNS.
• Pornografia
  Filtraggio coerente su tutta la rete, ideale per ambienti familiari o scolastici.
• Gioco d’azzardo
  Blocco di casinò online e siti di scommesse.
• Giochi
  Per ambienti lavorativi o didattici dove la concentrazione conta.
• DNS-over-HTTPS (DoH)
  Impedisce l’aggiramento delle policy DNS mantenendo la visibilità del traffico.

E questo è solo l’inizio.

Standard aperti, integrazione immediata

Uno dei punti di forza più importanti di IPFire DBL è la scelta consapevole degli standard aperti. Nessun lock-in, nessun formato proprietario.

Dal punto di vista tecnico, IPFire DBL supporta:

• DNS Response Policy Zones (RPZ)
  Standard industriale per il blocco DNS, con supporto completo a AXFR/IXFR per aggiornamenti rapidi e incrementali.
• Formato SquidGuard
  Perfetto per chi utilizza proxy HTTP/HTTPS con filtraggio URL.
• Liste testuali via HTTPS
  Compatibilità massima con firewall, resolver e strumenti di rete eterogenei.
• Sintassi Adblock Plus
  Utilizzabile anche a livello di browser o estensioni client-side.

Che tu stia gestendo BIND, Unbound, PowerDNS, Pi-hole, firewall commerciali o soluzioni personalizzate, se supportano formati standard… supportano anche IPFire DBL.

Performance, aggiornamenti e intelligence collaborativa

Con aggiornamenti orari e un processo di cura continua, IPFire DBL si adatta rapidamente a un panorama delle minacce in costante evoluzione.

Ma il vero valore aggiunto è il coinvolgimento diretto della community.

Grazie allo strumento di segnalazione online puoi:

• indicare falsi positivi,
• proporre nuovi domini malevoli,
• contribuire a migliorare la qualità delle liste in tempo reale.

È threat intelligence distribuita, costruita da chi la rete la usa davvero.

IPFire Core Update 200: il futuro del filtraggio

Gli utenti IPFire vedranno IPFire DBL integrato nativamente nel prossimo Core Update 200, inizialmente tramite URL Filter.

Ma la vera novità è l’integrazione con Suricata.

Stiamo lavorando a un approccio completamente nuovo per applicare l’intelligence di dominio direttamente al motore IDS/IPS. Questo significa:

• maggiore visibilità sul traffico,
• applicazione delle policy in tempo reale,
• nuove possibilità di correlazione tra eventi di rete e domini.

I dettagli arriveranno presto, ma una cosa è certa: non si è mai visto nulla di simile in IPFire.

Open source, per davvero

IPFire DBL è:

• GPLv3+ per il codice,
• Creative Commons BY-SA 4.0 per le liste.

È una risorsa della community, pensata per essere usata, studiata, migliorata e condivisa. Non solo per IPFire, ma per chiunque creda in un Internet più sicuro, trasparente e controllabile.

Un progetto comunitario: ora tocca a noi

IPFire DBL è il risultato di mesi di sviluppo e di un’esigenza sentita da anni. Le fondamenta sono solide, ma come ogni progetto open source c’è una risorsa che manca sempre: il tempo.

Per portare IPFire DBL al livello successivo – inclusa l’integrazione completa delle RPZ direttamente in IPFire – il team ha avviato una raccolta fondi per sostenere lo sviluppo.

Visita www.ipfire.org/dbl per iniziare subito a usare le liste.
Se IPFire DBL ti fa risparmiare tempo, migliora la sicurezza o semplicemente rispecchia i tuoi valori, considera di supportare il progetto.

Questo è solo l’inizio.
Vediamo cosa possiamo costruire insieme.