FIREWALLD(1) firewalld FIREWALLD(1)

firewalld - مدیر پویای دیوار آتش

firewalld [OPTIONS...]

ابزار firewalld یک دیوار آتش مدیریت‌پذیر به‌صورت پویا را با پشتیبانی از ناحیه‌های شبکه/دیوار آتش (zones) برای تعیین سطح اعتماد اتصالات یا رابط‌های شبکه فراهم می‌کند. این ابزار از تنظیمات دیوار آتش IPv4 و IPv6 و پل‌های اترنت (ethernet bridges) پشتیبانی کرده و بین گزینه‌های پیکربندی زمان اجرا (runtime) و دائمی (permanent) تفکیک قائل می‌شود. همچنین رابطی برای سرویس‌ها یا برنامه‌ها فراهم می‌کند تا بتوانند قوانین دیوار آتش را مستقیماً اضافه کنند.

گزینه‌های خط فرمان firewalld عبارتند از:

-h, --help

متن راهنمای کوتاهی را چاپ کرده و خارج می‌شود.

--default-config

مسیر پیکربندی پیش‌فرض firewalld. این مسیر معمولاً به‌طور پیش‌فرض /usr/lib/firewalld است.

--debug[=level]

تنظیم سطح اشکال‌زدایی (debug) برای firewalld به level. محدودهٔ سطح اشکال‌زدایی از ۱ (کمترین سطح) تا ۱۰ (بیشترین سطح) است. خروجی اشکال‌زدایی در فایل لاگ firewalld که توسط --log-file مشخص شده است، نوشته خواهد شد.

--debug-gc

چاپ اطلاعات نشت زباله‌روب (garbage collector). زباله‌روب هر ۱۰ ثانیه اجرا می‌شود و در صورت وجود نشت، اطلاعات مربوط به آن را چاپ می‌کند.

--log-target

تعیین مقصد خروجی که پیام‌های لاگ در آن نوشته می‌شوند. در حالت mixed، ابزار firewalld پیام‌های لاگ سطح info را در syslog می‌نویسد. پیام‌های اشکال‌زدایی (debug) در یک فایل نوشته می‌شوند (پارامتر --log-file را ببینید). پیام‌های info به stdout و stderr نیز ارسال می‌شوند. حالت‌های syslog، file یا console تمامی پیام‌ها را تنها به همان یک مقصد پیکربندی‌شده هدایت می‌کنند.

--log-file

تعیین فایلی که پیام‌های اشکال‌زدایی در آن نوشته می‌شوند. فایل پیش‌فرض /var/log/firewalld است.

--nofork

غیرفعال کردن انشعاب دیمن (forking). این گزینه firewalld را مجبور می‌کند تا به‌جای اجرا به‌عنوان یک دیمن در پس‌زمینه، به‌صورت یک فرایند در پیش‌زمینه اجرا شود.

--nopid

غیرفعال کردن نوشتن فایل pid. به‌طور پیش‌فرض برنامه یک فایل pid ایجاد می‌کند. اگر برنامه با این گزینه فراخوانی شود، وجود یک فرایند سرور فعال را بررسی نخواهد کرد.

--system-config

مسیر پیکربندی سیستمی (کاربر) firewalld. این مسیر معمولاً به‌طور پیش‌فرض /etc/firewalld است.

ابزار firewalld دارای یک رابط D-Bus برای پیکربندی دیوار آتش توسط سرویس‌ها و برنامه‌ها است. این ابزار همچنین یک کلاینت خط فرمان را برای کاربر ارائه می‌دهد. سرویس‌ها یا برنامه‌هایی که هم‌اکنون از D-Bus استفاده می‌کنند می‌توانند مستقیماً از طریق این رابط، درخواست اعمال تغییرات در دیوار آتش را ثبت نمایند. برای اطلاعات بیشتر دربارهٔ رابط D-Bus در firewalld، لطفاً به firewalld.dbus(5) مراجعه کنید.

ابزار firewalld پشتیبانی از ناحیه‌ها، سرویس‌های از پیش تعریف‌شده و انواع ICMP را فراهم کرده و تفکیک مشخصی میان گزینه‌های پیکربندی زمان اجرا (runtime) و دائمی (permanent) قائل است. پیکربندی دائمی از فایل‌های XML در مسیر /usr/lib/firewalld (--default-config) یا /etc/firewalld (--system-config) بارگذاری می‌شود (بخش “دایرکتوری‌ها (DIRECTORIES)” را ببینید).

اگر NetworkManager در حال استفاده نباشد و firewalld پس از راه‌اندازی شبکه اجرا شود، اتصالات و رابط‌های ایجادشده به‌صورت دستی به ناحیهٔ مشخص‌شده در فایل ifcfg متصل نخواهند شد. این رابط‌ها به‌طور خودکار توسط ناحیهٔ پیش‌فرض مدیریت می‌شوند. همچنین firewalld از تغییر نام دستگاه‌های شبکه مطلع نخواهد شد. همهٔ این موارد برای رابط‌هایی که توسط NetworkManager کنترل نمی‌شوند و عبارت NM_CONTROLLED=no در آن‌ها تنظیم شده است نیز صدق می‌کند.

می‌توانید این رابط‌ها را با دستور firewall-cmd [--permanent] --zone=zone --add-interface=interface به یک ناحیه اضافه کنید. اگر فایل /etc/sysconfig/network-scripts/ifcfg-interface وجود داشته باشد، firewalld سعی می‌کند مقدار ZONE=zone را در این فایل تغییر دهد.

اگر firewalld بازنشانی (reload) شود، اتصالات رابط‌هایی را که پیش از بازنشانی برقرار بوده‌اند بازمی‌گرداند تا پایداری اتصالات رابط‌ها در مواردی که تحت کنترل NetworkManager نیستند حفظ شود. این سازوکار در صورت راه‌اندازی مجدد (restart) سرویس firewalld امکان‌پذیر نیست.

بسیار ضروری است که در رابطه با رابط‌های کنترل‌نشده توسط NetworkManager، تنظیم ZONE= در فایل ifcfg با پیوند ایجادشده در firewalld یکپارچه و هماهنگ نگه داشته شود.

یک ناحیهٔ شبکه یا دیوار آتش، سطح اعتماد رابط مورد استفاده برای یک اتصال را تعیین می‌کند. چندین ناحیهٔ از پیش تعریف‌شده توسط firewalld ارائه شده است. گزینه‌های پیکربندی ناحیه و اطلاعات عمومی پیرامون ناحیه‌ها در firewalld.zone(5) توصیف شده‌اند.

یک سرویس می‌تواند فهرستی از درگاه‌های محلی، پروتکل‌ها و مقاصد و علاوه بر آن فهرستی از ماژول‌های کمکی (helper) دیوار آتش باشد که در صورت فعال بودن سرویس، به‌طور خودکار بارگذاری می‌شوند. گزینه‌های پیکربندی سرویس و اطلاعات کلی پیرامون سرویس‌ها در firewalld.service(5) شرح داده شده است. استفاده از سرویس‌های از پیش تعریف‌شده، مدیریت و کنترل دسترسی به یک سرویس را برای کاربر ساده‌تر می‌سازد.

پروتکل کنترل پیام‌های اینترنتی (ICMP) برای تبادل اطلاعات و همچنین پیام‌های خطا در پروتکل اینترنت (IP) به کار می‌رود. انواع ICMP را می‌توان در firewalld برای محدود کردن تبادل این پیام‌ها استفاده کرد. برای دریافت اطلاعات بیشتر، لطفاً به firewalld.icmptype(5) مراجعه فرمایید.

پیکربندی زمان اجرا، همان پیکربندیِ فعال و جاری سیستم است و دائمی نیست. پس از بارگذاری مجدد (reload) یا راه‌اندازی مجدد (restart) سرویس یا بازراه‌اندازی سیستم (reboot)، در صورتی که این تنظیمات در پیکربندی دائمی وارد نشده باشند، از دست خواهند رفت.

پیکربندی دائمی در فایل‌های پیکربندی ذخیره می‌شود و با هر بار بالا آمدن ماشین یا بارگذاری مجدد/راه‌اندازی مجدد سرویس، بارگذاری شده و به پیکربندی جدید زمان اجرا بدل می‌گردد.

منسوخ‌شده (DEPRECATED)

رابط مستقیم منسوخ شده است. این قابلیت در نگارش‌های آینده حذف خواهد شد. این سازوکار توسط سیاست‌ها (policies) جایگزین شده است؛ به firewalld.policies(5) مراجعه کنید.

رابط مستقیم عمدتاً توسط سرویس‌ها یا برنامه‌ها برای افزودن قوانین خاص به دیوار آتش استفاده می‌شود. این رابط نیازمند آگاهی مقدماتی از مفاهیم ip(6)tables (شامل tables ،chains ،commands ،parameters و targets) است.

ابزار firewalld از دو دایرکتوری پیکربندی پشتیبانی می‌کند:

این دایرکتوری شامل پیکربندی‌های پیش‌فرض و پشتیبان (fallback) ارائه‌شده توسط firewalld برای icmptypes، services و zones است. فایل‌های عرضه‌شده به همراه بستهٔ firewalld نباید دستکاری شوند، چرا که تغییرات اعمال‌شده در اثر به‌روزرسانی بسته از بین خواهند رفت. مقادیر اضافی icmptypes، services و zones می‌توانند به‌واسطهٔ بسته‌ها یا ایجاد فایل‌های مجزا افزوده شوند.

پیکربندی سیستم یا کاربر ذخیره‌شده در این بخش، یا توسط مدیر سیستم ایجاد می‌شود یا از طریق رابط پیکربندی firewalld و یا به‌صورت دستی تنظیم می‌گردد. این فایل‌ها بر فایل‌های پیکربندی پیش‌فرض اولویت داشته و آن‌ها را رونویسی می‌کنند.

جهت ویرایش دستی تنظیمات icmptypes، zones یا services از پیش تعریف‌شده، فایل مورد نظر را از دایرکتوری پیکربندی پیش‌فرض به دایرکتوری متناظر در دایرکتوری پیکربندی سیستم کپی کرده و تغییرات را در آن اعمال کنید.

برای اطلاعات بیشتر دربارهٔ icmptypes، لطفاً به صفحهٔ راهنمای firewalld.icmptype(5)، برای سرویس‌ها به firewalld.service(5) و برای ناحیه‌ها به firewalld.zone(5) مراجعه فرمایید.

در حال حاضر تنها سیگنال SIGHUP پشتیبانی می‌شود.

پیکربندی کامل دیوار آتش را بازنشانی (reload) می‌کند. همچنین می‌توانید از دستور firewall-cmd --reload استفاده کنید. تمامی تنظیمات پیکربندی زمان اجرا بازگردانی خواهند شد. پیکربندی دائمی نیز متناسب با گزینه‌های مشخص‌شده در فایل‌های پیکربندی تغییر می‌یابد.

firewall-applet(1), firewalld(1), firewall-cmd(1), firewall-config(1), firewalld.conf(5), firewalld.direct(5), firewalld.dbus(5), firewalld.icmptype(5), firewall-offline-cmd(1), firewalld.richlanguage(5), firewalld.service(5), firewalld.zone(5), firewalld.zones(5), firewalld.policy(5), firewalld.policies(5), firewalld.ipset(5), firewalld.helper(5)

صفحهٔ خانگی firewalld:

http://firewalld.org

Thomas Woerner <twoerner@redhat.com>

توسعه‌دهنده

Jiri Popelka <jpopelka@redhat.com>

توسعه‌دهنده

Eric Garver <eric@garver.life>

توسعه‌دهنده
firewalld 2.5.1