این گزینه ناحیه پیش‌فرض را برای اتصالات یا رابط‌ها در صورتی که ناحیه توسط NetworkManager، اسکریپت‌های init یا ابزار خط فرمان انتخاب یا مشخص نشده باشد، تنظیم می‌کند. ناحیه پیش‌فرض public است.

منسوخ شده است. این گزینه نادیده گرفته می‌شود و دیگر استفاده نمی‌شود. نشانه‌ها (marks) دیگر در ساختار درونی استفاده نمی‌شوند.

تنظیم این گزینه روی yes یا true باعث تخلیه (unload) تمام ماژول‌های هسته مربوط به دیوار آتش در هنگام توقف firewalld می‌شود. مقدار پیش‌فرض no یا false است.

اگر firewalld متوقف شود، تمام قوانین دیوار آتش را پاکسازی می‌کند. تنظیم این گزینه روی no یا false قوانین فعلی دیوار آتش را دست‌نخورده باقی می‌گذارد. مقدار پیش‌فرض yes یا true است.

عملیات فیلترسازی مسیر معکوس (RPF) را بر روی بسته‌های IPv6 طبق RFC 3704 انجام می‌دهد. مقادیر ممکن: - strict: فیلترسازی «سخت‌گیرانه» طبق RFC 3704 را اجرا می‌کند. این بررسی تأیید می‌کند که رابط ورودی همان رابطی است که برای ارسال بسته پاسخ به مبدأ استفاده می‌شود؛ به این معنی که ingress == egress است. - loose: فیلترسازی «آزاد» طبق RFC 3704 را اجرا می‌کند. این بررسی تنها تأیید می‌کند که مسیری به مبدأ از طریق هر رابطی وجود دارد؛ حتی اگر همان رابطی نباشد که بسته از آن دریافت شده است. - strict-forward: این حالت تقریباً مشابه "loose" است، اما RPF را برای بسته‌هایی که مقصدشان میزبان است (INPUT) اجرا نمی‌کند. - loose-forward: این حالت تقریباً مشابه "loose" است، اما RPF را برای بسته‌هایی که مقصدشان میزبان است (INPUT) اجرا نمی‌کند. - no: ویژگی RPF کاملاً غیرفعال می‌شود. مقدار rp_filter برای IPv4 با استفاده از sysctl کنترل می‌شود.

نکته: این ویژگی بر کارایی تأثیرگذار است. در بیشتر موارد این تأثیر به اندازه‌ای نیست که تفاوت محسوسی ایجاد کند. این قابلیت به جستجوی جدول مسیریابی نیاز دارد و اجرای آن پیش از مسیر سریع (fast path) اتصالات برقرارشده انجام می‌شود. به همین دلیل اگر ترافیک زیادی وجود داشته باشد، می‌تواند تأثیر چشمگیری بر کارایی بگذارد. این گزینه به‌طور پیش‌فرض برای امنیت فعال است، اما اگر کارایی دغدغه شما باشد می‌تواند غیرفعال گردد. در عوض می‌توان از یکی از حالت‌هایی که RPF را تنها روی بسته‌های هدایت‌شده (forwarded) اجرا می‌کنند استفاده کرد.

اگر این گزینه غیرفعال باشد (حالت پیش‌فرض)، برای اعمال تغییرات در دیوار آتش از فراخوانی‌های ترکیبی -restore استفاده می‌شود نه فراخوانی‌های تکی. استفاده از فراخوانی‌های تکی، زمان لازم برای اعمال تغییرات و راه‌اندازی دیمون را افزایش می‌دهد، اما برای اشکال‌زدایی مفید است زیرا پیام‌های خطای دقیق‌تری ارائه می‌دهد.

قوانین ثبت وقایع (لاگین) را درست قبل از قوانین رد کردن (reject) و دورانداختن (drop) در زنجیره‌های INPUT، FORWARD و OUTPUT برای قوانین پیش‌فرض و همچنین قوانین نهایی reject و drop در ناحیه‌ها برای نوع بسته لایه پیوند پیکربندی‌شده اضافه می‌کند. مقادیر ممکن عبارتند از: all، unicast، broadcast، multicast و off. مقدار پیش‌فرض off است که ثبت گزارش را غیرفعال می‌کند.

منسوخ شده است. این گزینه نادیده گرفته می‌شود و دیگر استفاده نمی‌شود.

بک‌اند اجرایی دیوار آتش را انتخاب می‌کند. مقادیر ممکن عبارتند از: nftables (پیش‌فرض)، یا iptables. این تنظیم بر تمام عناصر اولیه firewalld اعمال می‌شود. تنها استثنا قوانین مستقیم (direct) و عبوری (passthrough) هستند که همواره از بک‌اندهای سنتی iptables، ip6tables و ebtables استفاده می‌کنند.

نکته: بک‌اند iptables منسوخ شده است. این بک‌اند در نگارش‌های آینده حذف خواهد شد.

تمام قوانین زمان اجرا را در هنگام بارگذاری مجدد (reload) پاک می‌کند. در نگارش‌های پیشین، بخشی از پیکربندی زمان اجرا در طول بارگذاری مجدد حفظ می‌شد، به‌ویژه: تخصیص رابط به ناحیه و قوانین مستقیم. این امر برای کاربران گیج‌کننده بود. برای بازگشت به رفتار پیشین، این گزینه را روی "no" قرار دهید. مقدار پیش‌فرض "yes" است.

سیاست در طول بارگذاری مجدد. به‌طور پیش‌فرض، هنگام بارگذاری مجدد قوانین دیوار آتش، تمام ترافیک به جز اتصالات برقرارشده دور انداخته می‌شود (drop). این رفتار می‌تواند برای INPUT، FORWARD و OUTPUT لغو شود. مقادیر پذیرفته‌شده "DROP"، "REJECT" و "ACCEPT" هستند که در این حالت بر تمام جدول‌ها اعمال می‌شوند. از طرف دیگر، این سیاست می‌تواند برای هر جدول به تفکیک مشخص شود، مانند "INPUT:REJECT,FORWARD:DROP,OUTPUT:ACCEPT". مقدار پیش‌فرض "INPUT:DROP,FORWARD:DROP,OUTPUT:DROP" است.

مطابق با RFC 3964، ترافیک IPv6 با آدرس‌های مقصد 6to4 را که متناظر با آدرس‌های IPv4 هستند که نباید در اینترنت عمومی مسیریابی شوند، فیلتر می‌کند. مقدار پیش‌فرض "yes" است.

اگر روی yes تنظیم شود، قوانین NAT مقصد (DNAT) تولیدشده ترافیکی را که توسط موجودیت‌های دیگر، مانند docker تحت فرآیند DNAT قرار گرفته است قبول نخواهند کرد. در این حالت firewalld سخت‌گیرانه عمل می‌کند و درگاه‌های منتشرشده کانتینر را تا زمانی که صریحاً از طریق firewalld مجاز نشده باشند نمی‌پذیرد. اگر روی no تنظیم شود، داکر (و پودمن) به‌طور یکپارچه با firewalld هماهنگ می‌شوند. درگاه‌های کانتینری منتشرشده به‌طور ضمنی مجاز خواهند بود. مقدار پیش‌فرض "no" است.

منسوخ شده است. این گزینه نادیده گرفته می‌شود و دیگر استفاده نمی‌شود.

ممکن است با فعال‌سازی flowtable در nftables، ظرفیت پردازش ترافیک هدایت‌شده (forwarded) را بهبود بخشد. این یک مسیر سریع نرم‌افزاری است و از فراخوانی ارزیابی قوانین nftables برای بسته‌های داده جلوگیری می‌کند. مقدار آن فهرستی از رابط‌ها است که با فاصله جدا شده‌اند. مقدار نمونه: "eth0 eth1". مقدار پیش‌فرض "off" است.

اگر روی yes تنظیم شود، به هر قانون nftables یک شمارنده اضافه می‌کند. این ویژگی برای اشکال‌زدایی مفید است و هزینه کارایی اندکی به همراه دارد. مقدار پیش‌فرض "no" است.

اگر روی yes تنظیم شود، مجموعه قوانین nftables تولیدشده به‌طور انحصاری متعلق به firewalld خواهد بود. این امر از تغییر اشتباهی (یا مخرب) مجموعه قوانین firewalld توسط سایر موجودیت‌ها جلوگیری می‌کند. اگر عمداً قوانین firewalld را دستکاری می‌کنید، باید این مقدار را روی "no" تنظیم کنید. مقدار پیش‌فرض "yes" است.

توسعه‌دهنده

توسعه‌دهنده

توسعه‌دهنده