'\" t .\" Title: firewalld.conf .\" Author: Thomas Woerner .\" Generator: DocBook XSL Stylesheets vsnapshot .\" Date: .\" Manual: firewalld.conf .\" Source: firewalld 2.5.1 .\" Language: Persian .\" .TH "FIREWALLD\&.CONF" "5" "" "firewalld 2.5.1" "firewalld.conf" .\" ----------------------------------------------------------------- .\" * Define some portability stuff .\" ----------------------------------------------------------------- .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ .\" http://bugs.debian.org/507673 .\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html .\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ .ie \n(.g .ds Aq \(aq .el .ds Aq ' .\" ----------------------------------------------------------------- .\" * set default formatting .\" ----------------------------------------------------------------- .\" disable hyphenation .nh .\" disable justification (adjust text to left margin only) .ad l .\" ----------------------------------------------------------------- .\" * MAIN CONTENT STARTS HERE * .\" ----------------------------------------------------------------- .SH "نام (NAME)" firewalld.conf \- پرونده پیکربندی firewalld .SH "خلاصه دستور (SYNOPSIS)" .PP .nf \fI/etc/firewalld/firewalld\&.conf\fR .fi .sp .SH "توضیحات (DESCRIPTION)" .PP پرونده firewalld\&.conf در طول فرآیند مقداردهی اولیه توسط firewalld بارگذاری می‌شود\&. این پرونده شامل گزینه‌های اصلی پیکربندی برای firewalld است\&. .SH "گزینه‌ها (OPTIONS)" .PP این‌ها گزینه‌هایی هستند که می‌توانند در پرونده پیکربندی تنظیم شوند: .PP \fBDefaultZone\fR .RS 4 این گزینه ناحیه پیش‌فرض را برای اتصالات یا رابط‌ها در صورتی که ناحیه توسط NetworkManager، اسکریپت‌های init یا ابزار خط فرمان انتخاب یا مشخص نشده باشد، تنظیم می‌کند\&. ناحیه پیش‌فرض public است\&. .RE .PP \fBMinimalMark\fR .RS 4 منسوخ شده است\&. این گزینه نادیده گرفته می‌شود و دیگر استفاده نمی‌شود\&. نشانه‌ها (marks) دیگر در ساختار درونی استفاده نمی‌شوند\&. .RE .PP \fBCleanupModulesOnExit\fR .RS 4 تنظیم این گزینه روی yes یا true باعث تخلیه (unload) تمام ماژول‌های هسته مربوط به دیوار آتش در هنگام توقف firewalld می‌شود\&. مقدار پیش‌فرض no یا false است\&. .RE .PP \fBCleanupOnExit\fR .RS 4 اگر firewalld متوقف شود، تمام قوانین دیوار آتش را پاکسازی می‌کند\&. تنظیم این گزینه روی no یا false قوانین فعلی دیوار آتش را دست‌نخورده باقی می‌گذارد\&. مقدار پیش‌فرض yes یا true است\&. .RE .PP \fBIPv6_rpfilter\fR .RS 4 عملیات فیلترسازی مسیر معکوس (RPF) را بر روی بسته‌های IPv6 طبق RFC 3704 انجام می‌دهد\&. مقادیر ممکن: \- strict: فیلترسازی «سخت‌گیرانه» طبق RFC 3704 را اجرا می‌کند\&. این بررسی تأیید می‌کند که رابط ورودی همان رابطی است که برای ارسال بسته پاسخ به مبدأ استفاده می‌شود؛ به این معنی که ingress == egress است\&. \- loose: فیلترسازی «آزاد» طبق RFC 3704 را اجرا می‌کند\&. این بررسی تنها تأیید می‌کند که مسیری به مبدأ از طریق هر رابطی وجود دارد؛ حتی اگر همان رابطی نباشد که بسته از آن دریافت شده است\&. \- strict\-forward: این حالت تقریباً مشابه "loose" است، اما RPF را برای بسته‌هایی که مقصدشان میزبان است (INPUT) اجرا نمی‌کند\&. \- loose\-forward: این حالت تقریباً مشابه "loose" است، اما RPF را برای بسته‌هایی که مقصدشان میزبان است (INPUT) اجرا نمی‌کند\&. \- no: ویژگی RPF کاملاً غیرفعال می‌شود\&. مقدار rp_filter برای IPv4 با استفاده از sysctl کنترل می‌شود\&. .sp \fBنکته\fR: این ویژگی بر کارایی تأثیرگذار است\&. در بیشتر موارد این تأثیر به اندازه‌ای نیست که تفاوت محسوسی ایجاد کند\&. این قابلیت به جستجوی جدول مسیریابی نیاز دارد و اجرای آن پیش از مسیر سریع (fast path) اتصالات برقرارشده انجام می‌شود\&. به همین دلیل اگر ترافیک زیادی وجود داشته باشد، می‌تواند تأثیر چشمگیری بر کارایی بگذارد\&. این گزینه به‌طور پیش‌فرض برای امنیت فعال است، اما اگر کارایی دغدغه شما باشد می‌تواند غیرفعال گردد\&. در عوض می‌توان از یکی از حالت‌هایی که RPF را تنها روی بسته‌های هدایت‌شده (forwarded) اجرا می‌کنند استفاده کرد\&. .RE .PP \fBIndividualCalls\fR .RS 4 اگر این گزینه غیرفعال باشد (حالت پیش‌فرض)، برای اعمال تغییرات در دیوار آتش از فراخوانی‌های ترکیبی \-restore استفاده می‌شود نه فراخوانی‌های تکی\&. استفاده از فراخوانی‌های تکی، زمان لازم برای اعمال تغییرات و راه‌اندازی دیمون را افزایش می‌دهد، اما برای اشکال‌زدایی مفید است زیرا پیام‌های خطای دقیق‌تری ارائه می‌دهد\&. .RE .PP \fBLogDenied\fR .RS 4 قوانین ثبت وقایع (لاگین) را درست قبل از قوانین رد کردن (reject) و دورانداختن (drop) در زنجیره‌های INPUT، FORWARD و OUTPUT برای قوانین پیش‌فرض و همچنین قوانین نهایی reject و drop در ناحیه‌ها برای نوع بسته لایه پیوند پیکربندی‌شده اضافه می‌کند\&. مقادیر ممکن عبارتند از: \fIall\fR، \fIunicast\fR، \fIbroadcast\fR، \fImulticast\fR و \fIoff\fR\&. مقدار پیش‌فرض \fIoff\fR است که ثبت گزارش را غیرفعال می‌کند\&. .RE .PP \fBAutomaticHelpers\fR .RS 4 منسوخ شده است\&. این گزینه نادیده گرفته می‌شود و دیگر استفاده نمی‌شود\&. .RE .PP \fBFirewallBackend\fR .RS 4 بک‌اند اجرایی دیوار آتش را انتخاب می‌کند\&. مقادیر ممکن عبارتند از: \fInftables\fR (پیش‌فرض)، یا \fIiptables\fR\&. این تنظیم بر تمام عناصر اولیه firewalld اعمال می‌شود\&. تنها استثنا قوانین مستقیم (direct) و عبوری (passthrough) هستند که همواره از بک‌اندهای سنتی iptables، ip6tables و ebtables استفاده می‌کنند\&. .sp \fBنکته\fR: بک‌اند iptables منسوخ شده است\&. این بک‌اند در نگارش‌های آینده حذف خواهد شد\&. .RE .PP \fBFlushAllOnReload\fR .RS 4 تمام قوانین زمان اجرا را در هنگام بارگذاری مجدد (reload) پاک می‌کند\&. در نگارش‌های پیشین، بخشی از پیکربندی زمان اجرا در طول بارگذاری مجدد حفظ می‌شد، به‌ویژه: تخصیص رابط به ناحیه و قوانین مستقیم\&. این امر برای کاربران گیج‌کننده بود\&. برای بازگشت به رفتار پیشین، این گزینه را روی "no" قرار دهید\&. مقدار پیش‌فرض "yes" است\&. .RE .PP \fBReloadPolicy\fR .RS 4 سیاست در طول بارگذاری مجدد\&. به‌طور پیش‌فرض، هنگام بارگذاری مجدد قوانین دیوار آتش، تمام ترافیک به جز اتصالات برقرارشده دور انداخته می‌شود (drop)\&. این رفتار می‌تواند برای INPUT، FORWARD و OUTPUT لغو شود\&. مقادیر پذیرفته‌شده "DROP"، "REJECT" و "ACCEPT" هستند که در این حالت بر تمام جدول‌ها اعمال می‌شوند\&. از طرف دیگر، این سیاست می‌تواند برای هر جدول به تفکیک مشخص شود، مانند "INPUT:REJECT,FORWARD:DROP,OUTPUT:ACCEPT"\&. مقدار پیش‌فرض "INPUT:DROP,FORWARD:DROP,OUTPUT:DROP" است\&. .RE .PP \fBRFC3964_IPv4\fR .RS 4 مطابق با RFC 3964، ترافیک IPv6 با آدرس‌های مقصد 6to4 را که متناظر با آدرس‌های IPv4 هستند که نباید در اینترنت عمومی مسیریابی شوند، فیلتر می‌کند\&. مقدار پیش‌فرض "yes" است\&. .RE .PP \fBStrictForwardPorts\fR .RS 4 اگر روی yes تنظیم شود، قوانین NAT مقصد (DNAT) تولیدشده ترافیکی را که توسط موجودیت‌های دیگر، مانند docker تحت فرآیند DNAT قرار گرفته است قبول نخواهند کرد\&. در این حالت firewalld سخت‌گیرانه عمل می‌کند و درگاه‌های منتشرشده کانتینر را تا زمانی که صریحاً از طریق firewalld مجاز نشده باشند نمی‌پذیرد\&. اگر روی no تنظیم شود، داکر (و پودمن) به‌طور یکپارچه با firewalld هماهنگ می‌شوند\&. درگاه‌های کانتینری منتشرشده به‌طور ضمنی مجاز خواهند بود\&. مقدار پیش‌فرض "no" است\&. .RE .PP \fBAllowZoneDrifting\fR .RS 4 منسوخ شده است\&. این گزینه نادیده گرفته می‌شود و دیگر استفاده نمی‌شود\&. .RE .PP \fBNftablesFlowtable\fR .RS 4 ممکن است با فعال‌سازی flowtable در nftables، ظرفیت پردازش ترافیک هدایت‌شده (forwarded) را بهبود بخشد\&. این یک مسیر سریع نرم‌افزاری است و از فراخوانی ارزیابی قوانین nftables برای بسته‌های داده جلوگیری می‌کند\&. مقدار آن فهرستی از رابط‌ها است که با فاصله جدا شده‌اند\&. مقدار نمونه: "eth0 eth1"\&. مقدار پیش‌فرض "off" است\&. .RE .PP \fBNftablesCounters\fR .RS 4 اگر روی yes تنظیم شود، به هر قانون nftables یک شمارنده اضافه می‌کند\&. این ویژگی برای اشکال‌زدایی مفید است و هزینه کارایی اندکی به همراه دارد\&. مقدار پیش‌فرض "no" است\&. .RE .PP \fBNftablesTableOwner\fR .RS 4 اگر روی yes تنظیم شود، مجموعه قوانین nftables تولیدشده به‌طور انحصاری متعلق به firewalld خواهد بود\&. این امر از تغییر اشتباهی (یا مخرب) مجموعه قوانین firewalld توسط سایر موجودیت‌ها جلوگیری می‌کند\&. اگر عمداً قوانین firewalld را دستکاری می‌کنید، باید این مقدار را روی "no" تنظیم کنید\&. مقدار پیش‌فرض "yes" است\&. .RE .SH "همچنین ببینید (SEE ALSO)" \fBfirewall-applet\fR(1), \fBfirewalld\fR(1), \fBfirewall-cmd\fR(1), \fBfirewall-config\fR(1), \fBfirewalld.conf\fR(5), \fBfirewalld.direct\fR(5), \fBfirewalld.dbus\fR(5), \fBfirewalld.icmptype\fR(5), \fBfirewall-offline-cmd\fR(1), \fBfirewalld.richlanguage\fR(5), \fBfirewalld.service\fR(5), \fBfirewalld.zone\fR(5), \fBfirewalld.zones\fR(5), \fBfirewalld.policy\fR(5), \fBfirewalld.policies\fR(5), \fBfirewalld.ipset\fR(5), \fBfirewalld.helper\fR(5) .SH "نکات (NOTES)" .PP صفحه خانگی firewalld: .RS 4 \m[blue]\fB\%http://firewalld.org\fR\m[] .RE .SH "نویسندگان (AUTHORS)" .PP \fBThomas Woerner\fR <\&twoerner@redhat\&.com\&> .RS 4 توسعه‌دهنده .RE .PP \fBJiri Popelka\fR <\&jpopelka@redhat\&.com\&> .RS 4 توسعه‌دهنده .RE .PP \fBEric Garver\fR <\&eric@garver\&.life\&> .RS 4 توسعه‌دهنده .RE