گزینه‌های عمومی (General Options)

-h, --help

-V, --version

-q, --quiet

--default-config

--system-config

گزینه‌های وضعیت (Status Options)

--enabled

--disabled

--check-config

--reset-to-defaults

گزینه‌های سازگاری با Lokkit (Lokkit Compatibility Options)

این گزینه‌ها تقریباً با گزینه‌های lokkit یکسان هستند.

--migrate-system-config-firewall=file

--addmodule=module

--removemodule

--remove-service=service

-s service, --service=service

-p portid[-portid]:protocol, --port=portid[-portid]:protocol

-t interface, --trust=interface

-m interface, --masq=interface

--custom-rules=[type:][table:]filename

--forward-port=if=interface:port=port:proto=protocol[:toport=destination port:][:toaddr=destination address]

--block-icmp=icmptype

گزینه‌های ثبت وقایع ردشده (Log Denied Options)

--get-log-denied

--set-log-denied=value

گزینه‌های ناحیه (Zone Options)

--get-default-zone

--set-default-zone=zone

--get-zones

--get-services

--get-icmptypes

--get-zone-of-interface=interface

--get-zone-of-source=source[/mask]|MAC|ipset:ipset

--info-zone=zone

zone
  interfaces: interface1 ..
  sources: source1 ..
  services: service1 ..
  ports: port1 ..
  protocols: protocol1 ..
  forward-ports:
        forward-port1
        ..
  source-ports: source-port1 ..
  icmp-blocks: icmp-type1 ..
  rich rules:
        rich-rule1
        ..

--list-all-zones

zone1
  interfaces: interface1 ..
  sources: source1 ..
  services: service1 ..
  ports: port1 ..
  protocols: protocol1 ..
  forward-ports:
        forward-port1
        ..
  source-ports: source-port1 ..
  icmp-blocks: icmp-type1 ..
  rich rules:
        rich-rule1
        ..
..

--new-zone=zone

--new-zone-from-file=filename [--name=zone]

--path-zone=zone

--delete-zone=zone

گزینه‌های سیاست (Policy Options)

--get-policies

--info-policy=policy

--list-all-policies

--new-policy=policy

--new-policy-from-file=filename [--name=policy]

--path-policy=policy

--delete-policy=policy

--load-policy-defaults=policy

گزینه‌های تغییر و استعلام ناحیه‌ها و شیوه‌نامه‌ها (Options to Adapt and Query Zones and Policies)

گزینه‌های این بخش تنها بر یک ناحیه یا شیوه‌نامه خاص اثر می‌گذارند. در صورت استفاده همراه با گزینه --zone=zone یا --policy=policy، بر ناحیه یا شیوه‌نامه مشخص‌شده اثر می‌گذارند. در صورت حذف هر دو گزینه، بر ناحیه پیش‌فرض اثر می‌گذارند (گزینه --get-default-zone را ببینید).

[--zone=zone] [--policy=policy] --list-all

[--zone=zone] [--policy=policy] --get-target

[--zone=zone] [--policy=policy] --set-target=target

[--zone=zone] [--policy=policy] --set-description=description

[--zone=zone] [--policy=policy] --get-description

[--zone=zone] [--policy=policy] --set-short=description

[--zone=zone] [--policy=policy] --get-short

[--zone=zone] [--policy=policy] --list-services

[--zone=zone] [--policy=policy] --add-service=service

# firewall-cmd --new-policy clientConntrack
# firewall-cmd --policy clientConntrack --add-ingress-zone HOST
# firewall-cmd --policy clientConntrack --add-egress-zone ANY
# firewall-cmd --policy clientConntrack --add-service tftp

[--zone=zone] --remove-service-from-zone=service

[--policy=policy] --remove-service-from-policy=service

[--zone=zone] [--policy=policy] --query-service=service

[--zone=zone] [--policy=policy] --list-ports

[--zone=zone] [--policy=policy] --add-port=portid[-portid]/protocol

[--zone=zone] [--policy=policy] --remove-port=portid[-portid]/protocol

[--zone=zone] [--policy=policy] --query-port=portid[-portid]/protocol

[--zone=zone] [--policy=policy] --list-protocols

[--zone=zone] [--policy=policy] --add-protocol=protocol

[--zone=zone] [--policy=policy] --remove-protocol=protocol

[--zone=zone] [--policy=policy] --query-protocol=protocol

[--zone=zone] [--policy=policy] --list-icmp-blocks

[--zone=zone] [--policy=policy] --add-icmp-block=icmptype

[--zone=zone] [--policy=policy] --remove-icmp-block=icmptype

[--zone=zone] [--policy=policy] --query-icmp-block=icmptype

[--zone=zone] [--policy=policy] --list-forward-ports

[--zone=zone] [--policy=policy] --add-forward-port=port=portid[-portid]:proto=protocol[:toport=portid[-portid]][:toaddr=address[/mask]]

[--zone=zone] [--policy=policy] --remove-forward-port=port=portid[-portid]:proto=protocol[:toport=portid[-portid]][:toaddr=address[/mask]]

[--zone=zone] [--policy=policy] --query-forward-port=port=portid[-portid]:proto=protocol[:toport=portid[-portid]][:toaddr=address[/mask]]

[--zone=zone] [--policy=policy] --list-source-ports

[--zone=zone] [--policy=policy] --add-source-port=portid[-portid]/protocol

[--zone=zone] [--policy=policy] --remove-source-port=portid[-portid]/protocol

[--zone=zone] [--policy=policy] --query-source-port=portid[-portid]/protocol

[--zone=zone] [--policy=policy] --add-masquerade

[--zone=zone] [--policy=policy] --remove-masquerade

[--zone=zone] [--policy=policy] --query-masquerade

[--zone=zone] [--policy=policy] --list-rich-rules

[--zone=zone] [--policy=policy] --add-rich-rule='rule'

[--zone=zone] [--policy=policy] --remove-rich-rule='rule'

[--zone=zone] [--policy=policy] --query-rich-rule='rule'

گزینه‌های تغییر و استعلام ناحیه‌ها (Options to Adapt and Query Zones)

گزینه‌های این بخش تنها بر یک ناحیه خاص اثر می‌گذارند. در صورت استفاده همراه با گزینه --zone=zone، بر ناحیه مشخص‌شده اثر می‌گذارند. در صورت حذف این گزینه، بر ناحیه پیش‌فرض اثر می‌گذارند (گزینه --get-default-zone را ببینید).

[--zone=zone] --add-icmp-block-inversion

[--zone=zone] --remove-icmp-block-inversion

[--zone=zone] --query-icmp-block-inversion

[--zone=zone] --add-forward

[--zone=zone] --remove-forward

[--zone=zone] --query-forward

[--zone=zone] --get-priority

[--zone=zone] --set-priority

[--zone=zone] --get-ingress-priority

[--zone=zone] --set-ingress-priority

[--zone=zone] --get-egress-priority

[--zone=zone] --set-egress-priority

گزینه‌های تغییر و استعلام شیوه‌نامه‌ها (Options to Adapt and Query Policies)

گزینه‌های این بخش تنها بر یک شیوه‌نامه خاص اثر می‌گذارند. مشخص کردن گزینه --policy=policy همراه با این گزینه‌ها الزامی است.

--policy=policy --get-priority

--policy=policy --set-prioritypriority

--policy=policy --list-ingress-zones

--policy=policy --add-ingress-zone=zone

--policy=policy --remove-ingress-zone=zone

--policy=policy --query-ingress-zone=zone

--policy=policy --list-egress-zones

--policy=policy --add-egress-zone=zone

--policy=policy --remove-egress-zone=zone

--policy=policy --query-egress-zone=zone

--policy=policy|--policy-set=policy-set --add-disable

--policy=policy|--policy-set=policy-set --remove-disable

--policy=policy --query-disable

گزینه‌های مدیریت اتصال رابط‌ها (Options to Handle Bindings of Interfaces)

متصل کردن یک رابط به یک ناحیه به این معنی است که تنظیمات آن ناحیه برای محدود کردن ترافیک از طریق آن رابط استفاده می‌شوند.

گزینه‌های این بخش تنها بر یک ناحیه خاص اثر می‌گذارند. در صورت استفاده همراه با گزینه --zone=zone، بر ناحیه zone اثر می‌گذارند. در صورت حذف این گزینه، بر ناحیه پیش‌فرض اثر می‌گذارند (گزینه --get-default-zone را ببینید).

برای دریافت فهرست ناحیه‌های از پیش تعریف‌شده از دستور زیر استفاده کنید: firewall-cmd --get-zones.

نام یک رابط رشته‌ای حداکثر تا ۱۶ نویسه است که نباید شامل ' '، '/'، '!' و '*' باشد.

[--zone=zone] --list-interfaces

[--zone=zone] --add-interface=interface

[--zone=zone] --change-interface=interface

[--zone=zone] --query-interface=interface

[--zone=zone] --remove-interface=interface

گزینه‌های مدیریت اتصال مبداها (Options to Handle Bindings of Sources)

متصل کردن یک مبدا به یک ناحیه به این معنی است که تنظیمات آن ناحیه برای محدود کردن ترافیک از این مبدا استفاده خواهند شد.

یک نشانی یا بازه نشانی مبدا می‌تواند یک نشانی IP، یا یک نشانی IP شبکه همراه با یک ماسک برای IPv4 یا IPv6، یا یک نشانی MAC، یا یک ipset با پیشوند ipset: باشد. برای IPv4، ماسک می‌تواند یک ماسک شبکه یا یک عدد ساده باشد. برای IPv6 ماسک یک عدد ساده است. استفاده از نام‌های میزبان پشتیبانی نمی‌شود.

گزینه‌های این بخش تنها بر یک ناحیه خاص اثر می‌گذارند. در صورت استفاده همراه با گزینه --zone=zone، بر ناحیه zone اثر می‌گذارند. در صورت حذف این گزینه، بر ناحیه پیش‌فرض اثر می‌گذارند (گزینه --get-default-zone را ببینید).

برای دریافت فهرست ناحیه‌های از پیش تعریف‌شده از دستور زیر استفاده کنید: firewall-cmd --get-zones.

[--zone=zone] --list-sources

[--zone=zone] --add-source=source[/mask]|MAC|ipset:ipset

[--zone=zone] --change-source=source[/mask]|MAC|ipset:ipset

[--zone=zone] --query-source=source[/mask]|MAC|ipset:ipset

[--zone=zone] --remove-source=source[/mask]|MAC|ipset:ipset

گزینه‌های IPSet (IPSet Options)

--new-ipset=ipset --type=ipset type [--option=ipset option[=value]]

--new-ipset-from-file=filename [--name=ipset]

--delete-ipset=ipset

--info-ipset=ipset

ipset
  type: type
  options: option1[=value1] ..
  entries: entry1 ..

--get-ipsets

--ipset=ipset --add-entry=entry

--ipset=ipset --remove-entry=entry

--ipset=ipset --query-entry=entry

--ipset=ipset --get-entries

--ipset=ipset --add-entries-from-file=filename

--ipset=ipset --remove-entries-from-file=filename

--ipset=ipset --set-description=description

--ipset=ipset --get-description

--ipset=ipset --set-short=description

--ipset=ipset --get-short

--path-ipset=ipset

گزینه‌های سرویس (Service Options)

--info-service=service

service
  ports: port1 ..
  protocols: protocol1 ..
  source-ports: source-port1 ..
  helpers: helper1 ..
  destination: ipv1:address1 ..

--new-service=service

--new-service-from-file=filename [--name=service]

--delete-service=service

--path-service=service

--service=service --set-description=description

--service=service --get-description

--service=service --set-short=description

--service=service --get-short

--service=service --add-port=portid[-portid]/protocol

--service=service --remove-port=portid[-portid]/protocol

--service=service --query-port=portid[-portid]/protocol

--service=service --get-ports

--service=service --add-protocol=protocol

--service=service --remove-protocol=protocol

--service=service --query-protocol=protocol

--service=service --get-protocols

--service=service --add-source-port=portid[-portid]/protocol

--service=service --remove-source-port=portid[-portid]/protocol

--service=service --query-source-port=portid[-portid]/protocol

--service=service --get-source-ports

--service=service --add-helper=helper

--service=service --remove-helper=helper

--service=service --query-helper=helper

--service=service --get-service-helpers

--service=service --set-destination=ipv:address[/mask]

--service=service --remove-destination=ipv

--service=service --query-destination=ipv:address[/mask]

--service=service --get-destinations

--service=service --add-include=service

--service=service --remove-include=service

--service=service --query-include=service

--service=service --get-includes

گزینه‌های کمکی (Helper Options)

گزینه‌های این بخش تنها بر یک دستیار خاص اثر می‌گذارند.

--info-helper=helper

helper
  family: family
  module: module
  ports: port1 ..

گزینه‌های زیر تنها در پیکربندی ماندگار قابل استفاده هستند.

--new-helper=helper --module=nf_conntrack_module [--family=ipv4|ipv6]

--new-helper-from-file=filename [--name=helper]

--delete-helper=helper

--load-helper-defaults=helper

--path-helper=helper

--get-helpers

--helper=helper --set-description=description

--helper=helper --get-description

--helper=helper --set-short=description

--helper=helper --get-short

--helper=helper --add-port=portid[-portid]/protocol

--helper=helper --remove-port=portid[-portid]/protocol

--helper=helper --query-port=portid[-portid]/protocol

--helper=helper --get-ports

--helper=helper --set-module=description

--helper=helper --get-module

--helper=helper --set-family=description

--helper=helper --get-family

گزینه‌های پروتکل کنترل پیام اینترنت (ICMP) (Internet Control Message Protocol (ICMP) type Options)

--info-icmptype=icmptype

icmptype
  destination: ipv1 ..

--new-icmptype=icmptype

--new-icmptype-from-file=filename [--name=icmptype]

--delete-icmptype=icmptype

--icmptype=icmptype --set-description=description

--icmptype=icmptype --get-description

--icmptype=icmptype --set-short=description

--icmptype=icmptype --get-short

--icmptype=icmptype --add-destination=ipv

--icmptype=icmptype --remove-destination=ipv

--icmptype=icmptype --query-destination=ipv

--icmptype=icmptype --get-destinations

--path-icmptype=icmptype

گزینه‌های مستقیم (Direct Options)

منسوخ شده (DEPRECATED)

گزینه‌های مستقیم دسترسی مستقیم‌تری را به فایروال فراهم می‌کنند. این گزینه‌ها مستلزم آن هستند که کاربر با مفاهیم پایه‌ای iptables آشنا باشد؛ یعنی table (مانند filter/mangle/nat/...)، chain (مانند INPUT/OUTPUT/FORWARD/...)، commands (مانند -A/-D/-I/...)، parameters (مانند -p/-s/-d/-j/...) و targets (مانند ACCEPT/DROP/REJECT/...).

گزینه‌های مستقیم تنها باید به‌عنوان آخرین راهکار استفاده شوند، زمانی که امکان استفاده از گزینه‌هایی مانند --add-service=service یا --add-rich-rule='rule' وجود نداشته باشد.

هشدار: رفتار قواعد مستقیم بسته به مقدار FirewallBackend متفاوت است. بخش CAVEATS در firewalld.direct(5) را ببینید.

اولین آرگومان هر گزینه باید ipv4 یا ipv6 یا eb باشد. با ipv4 برای IPv4 (iptables(8))، با ipv6 برای IPv6 (ip6tables(8)) و با eb برای پل‌های اترنت (ebtables(8)) اعمال خواهد شد.

--direct --get-all-chains

--direct --get-chains { ipv4 | ipv6 | eb } table

--direct --add-chain { ipv4 | ipv6 | eb } table chain

--direct --remove-chain { ipv4 | ipv6 | eb } table chain

--direct --query-chain { ipv4 | ipv6 | eb } table chain

--direct --get-all-rules

--direct --get-rules { ipv4 | ipv6 | eb } table chain

--direct --add-rule { ipv4 | ipv6 | eb } table chain priority args

--direct --remove-rule { ipv4 | ipv6 | eb } table chain priority args

--direct --remove-rules { ipv4 | ipv6 | eb } table chain

--direct --query-rule { ipv4 | ipv6 | eb } table chain priority args

--direct --get-all-passthroughs

--direct --get-passthroughs { ipv4 | ipv6 | eb }

--direct --add-passthrough { ipv4 | ipv6 | eb } args

--direct --remove-passthrough { ipv4 | ipv6 | eb } args

--direct --query-passthrough { ipv4 | ipv6 | eb } args

گزینه‌های شیوه‌نامه (Policy Options)

--policy-server

--policy-desktop