'\" t
.\"     Title: firewalld.policies
.\"    Author: Thomas Woerner <twoerner@redhat.com>
.\" Generator: DocBook XSL Stylesheets vsnapshot <http://docbook.sf.net>
.\"      Date:
.\"    Manual: firewalld.policies
.\"    Source: firewalld 2.5.1
.\"  Language: Persian
.\"
.TH "FIREWALLD\&.POLICIES" "5" "" "firewalld 2.5.1" "firewalld.policies"
.\" -----------------------------------------------------------------
.\" * Define some portability stuff
.\" -----------------------------------------------------------------
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.\" http://bugs.debian.org/507673
.\" http://lists.gnu.org/archive/html/groff/2009-02/msg00013.html
.\" ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
.ie \n(.g .ds Aq \(aq
.el       .ds Aq '
.\" -----------------------------------------------------------------
.\" * set default formatting
.\" -----------------------------------------------------------------
.\" disable hyphenation
.nh
.\" disable justification (adjust text to left margin only)
.ad l
.\" -----------------------------------------------------------------
.\" * MAIN CONTENT STARTS HERE *
.\" -----------------------------------------------------------------
.SH "نام (NAME)"
firewalld.policies \- سیاست‌های firewalld
.SH "توضیحات (DESCRIPTION)"
.SS "سیاست (policy) چیست؟"
.PP
یک سیاست، مجموعه‌ای از قواعد را بر ترافیک جاری میان منطقه‌ها اعمال می‌کند (نگاه کنید به
\fBfirewalld.zones\fR(5))\&.
سیاست بر ترافیک به صورت حالت‌مند (stateful) و یک‌طرفه (unidirectional) اثر می‌گذارد، برای مثال از zoneA به zoneB\&. این قابلیت امکان ایجاد سیاست‌های فیلترسازی نامتقارن را فراهم می‌کند\&.
.PP
ارتباط یک سیاست با منطقه‌ها از طریق تعیین مجموعه‌ای از منطقه‌های ورودی (ingress zones) و مجموعه‌ای از منطقه‌های خروجی (egress zones) مشخص می‌شود\&. برای نمونه، اگر مجموعه منطقه‌های ورودی شامل "internal" و مجموعه منطقه‌های خروجی شامل "external" باشد، سیاست بر تمام ترافیکی که از منطقه "internal" به سوی منطقه "external" جریان دارد اعمال خواهد شد\&. با این حال، از آنجا که سیاست‌ها یک‌طرفه هستند، بر ترافیک از "external" به "internal" اعمال نمی‌شود\&. مجموعه‌های ورودی و خروجی می‌توانند شامل چندین منطقه باشند\&.
.PP
در ادامه، نمایش بصری سیاست foobar و سپس دستورات CLI برای ایجاد آن آورده شده است\&. این سیاست بر ترافیکی که از منطقه internal به منطقه external جریان دارد اعمال می‌شود\&. در ابتدا، هدف (target) روی ACCEPT تنظیم می‌شود تا تمام ترافیک مجاز باشد\&. این کار در صورتی که شبکه داخلی مورد اعتماد باشد رایج است\&.
.sp
.if n \{\
.RS 4
.\}
.nf
                +\-\-\-\-\-\-\-\-\-\-+           +\-\-\-\-\-\-\-\-\-\-+
                |          |  policy   |          |
                | internal | \-\-\-\-\-\-\-\-> | external |
                |   zone   |  foobar   |   zone   |
                |          |           |          |
                +\-\-\-\-\-\-\-\-\-\-+           +\-\-\-\-\-\-\-\-\-\-+

.fi
.if n \{\
.RE
.\}
.sp
.if n \{\
.RS 4
.\}
.nf
                # firewall\-cmd \-\-permanent \-\-new\-policy foobar
                # firewall\-cmd \-\-permanent \-\-policy foobar \-\-add\-ingress\-zone internal
                # firewall\-cmd \-\-permanent \-\-policy foobar \-\-add\-egress\-zone external
                # firewall\-cmd \-\-permanent \-\-policy foobar \-\-set\-target ACCEPT
                # firewall\-cmd \-\-reload

.fi
.if n \{\
.RE
.\}
.PP
شاید منطقی باشد که محدودیت بیشتری اعمال شود\&. این مثال foobar را به گونه‌ای تغییر می‌دهد که تنها ترافیک dns، http و https را مجاز می‌داند\&. سایر ترافیک‌ها مسدود می‌شوند\&. به این ترتیب کلاینت‌ها تنها مجاز به مرور وب خواهند بود\&.
.sp
.if n \{\
.RS 4
.\}
.nf
                # firewall\-cmd \-\-permanent \-\-policy foobar \-\-set\-target REJECT
                # firewall\-cmd \-\-permanent \-\-policy foobar \-\-add\-service dns
                # firewall\-cmd \-\-permanent \-\-policy foobar \-\-add\-service http
                # firewall\-cmd \-\-permanent \-\-policy foobar \-\-add\-service https
                # firewall\-cmd \-\-reload

.fi
.if n \{\
.RE
.\}
.SS "سیاست‌های فعال (Active Policies)"
.PP
سیاست‌ها تنها در صورتی فعال می‌شوند که تمام شرایط زیر برقرار باشد\&.
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
سیاست غیرفعال نشده باشد\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
فهرست منطقه‌های ورودی حداقل شامل یک منطقه عادی یا یک منطقه نمادین منفرد باشد\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
فهرست منطقه‌های خروجی حداقل شامل یک منطقه عادی یا یک منطقه نمادین منفرد باشد\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
برای منطقه‌های غیر نمادین، منطقه باید فعال باشد؛ یعنی باید رابط‌ها یا مبداهایی به آن اختصاص داده شده باشد\&.
.RE
.PP
اگر سیاست فعال نباشد، هیچ اثری نخواهد داشت\&.
.SS "منطقه‌های نمادین (Symbolic Zones)"
.PP
منطقه‌های عادی برای بیان همه شکل‌های فیلترسازی بسته‌ها کافی نیستند\&. برای نمونه هیچ منطقه‌ای برای نمایش ترافیک ورودی به میزبانی که firewalld را اجرا می‌کند یا خروجی از آن وجود ندارد\&. از این رو، برخی منطقه‌های نمادین برای پر کردن این خلاءها در نظر گرفته شده‌اند\&. با این حال، منطقه‌های نمادین از این نظر خاص هستند که تنها منطقه مجاز در مجموعه‌های منطقه‌های ورودی یا خروجی به شمار می‌روند\&. برای مثال، نمی‌توان هم‌زمان از "public" و "HOST" در منطقه‌های ورودی استفاده کرد\&.
.PP
منطقه‌های نمادین:
.sp
.RS 4
.ie n \{\
\h'-04' 1.\h'+01'\c
.\}
.el \{\
.sp -1
.IP "  1." 4.2
.\}
HOST
.sp
این منطقه نمادین برای ترافیک ورودی به میزبان اجراکننده firewalld یا خروجی از آن است\&. این مورد متناظر با زنجیره‌های INPUT و OUTPUT در netfilter (iptables/nftables) است\&.
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
اگر در فهرست منطقه‌های خروجی استفاده شود، بر ترافیک زنجیره INPUT اعمال خواهد شد\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
اگر در فهرست منطقه‌های ورودی استفاده شود، بر ترافیک زنجیره OUTPUT اعمال خواهد شد\&.
.RE
.RE
.sp
.RS 4
.ie n \{\
\h'-04' 2.\h'+01'\c
.\}
.el \{\
.sp -1
.IP "  2." 4.2
.\}
ANY
.sp
این منطقه نمادین مانند یک نویسه عام (wildcard) برای منطقه‌های ورودی و خروجی عمل می‌کند، با این استثنا که شامل "HOST" نمی‌شود\&. زمانی که بخواهید یک سیاست بر همه منطقه‌ها اعمال شود بسیار کاربردی است\&.
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
اگر در فهرست منطقه‌های ورودی استفاده شود، برای ترافیکی که مبدا آن هر منطقه‌ای باشد اعمال خواهد شد\&.
.RE
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
اگر در فهرست منطقه‌های خروجی استفاده شود، برای ترافیکی که مقصد آن هر منطقه‌ای باشد اعمال خواهد شد\&.
.RE
.RE
.SS "سیاست‌های از پیش‌تعریف‌شده (Predefined Policies)"
.PP
firewalld همراه با چند سیاست از پیش‌تعریف‌شده عرضه می‌شود\&. این سیاست‌ها ممکن است به طور پیش‌فرض فعال باشند یا نباشند\&. برای جزئیات به توضیحات هر سیاست مراجعه کنید\&.
.sp
.RS 4
.ie n \{\
\h'-04'\(bu\h'+03'\c
.\}
.el \{\
.sp -1
.IP \(bu 2.3
.\}
allow\-host\-ipv6
.RE
.SS "شباهت به منطقه‌ها (Similarity to Zones)"
.PP
سیاست‌ها از این جهت شبیه به منطقه‌ها هستند که نقطه‌ای برای پیوست عناصر اولیه firewalld مانند سرویس‌ها، درگاه‌ها، درگاه‌های فوروارد و غیره به شمار می‌روند\&. این موضوع تصادفی نیست؛ سیاست‌ها در واقع تعمیمی از نحوه فیلترسازی سنتی در منطقه‌ها هستند\&. در حقیقت، در نسخه‌های مدرن firewalld، منطقه‌ها در ساختار درونی به صورت مجموعه‌ای از سیاست‌ها پیاده‌سازی شده‌اند\&.
.PP
تفاوت اصلی میان سیاست‌ها و منطقه‌ها این است که سیاست‌ها امکان فیلترسازی در تمام جهات را فراهم می‌آورند: ورودی (input)، خروجی (output) و هدایت (forwarding)\&. منطقه‌ها به جز چند مورد استثنا فقط فیلترسازی ورودی را مجاز می‌دانند که برای دیوار آتش یک ایستگاه پایانی کافی است\&. اما برای فیلترسازی در سطح شبکه یا فیلترسازی به نمایندگی از ماشین‌های مجازی و کانتینرها، به ابزاری منعطف‌تر، یعنی سیاست‌ها، نیاز است\&.
.SH "همچنین ببینید (SEE ALSO)"
\fBfirewall-applet\fR(1), \fBfirewalld\fR(1), \fBfirewall-cmd\fR(1), \fBfirewall-config\fR(1), \fBfirewalld.conf\fR(5), \fBfirewalld.direct\fR(5), \fBfirewalld.dbus\fR(5), \fBfirewalld.icmptype\fR(5), \fBfirewall-offline-cmd\fR(1), \fBfirewalld.richlanguage\fR(5), \fBfirewalld.service\fR(5), \fBfirewalld.zone\fR(5), \fBfirewalld.zones\fR(5), \fBfirewalld.policy\fR(5), \fBfirewalld.policies\fR(5), \fBfirewalld.ipset\fR(5), \fBfirewalld.helper\fR(5)
.SH "یادداشت‌ها (NOTES)"
.PP
صفحه اصلی firewalld:
.RS 4
\m[blue]\fB\%http://firewalld.org\fR\m[]
.RE
.SH "نویسندگان (AUTHORS)"
.PP
\fBThomas Woerner\fR <\&twoerner@redhat\&.com\&>
.RS 4
توسعه‌دهنده
.RE
.PP
\fBJiri Popelka\fR <\&jpopelka@redhat\&.com\&>
.RS 4
توسعه‌دهنده
.RE
.PP
\fBEric Garver\fR <\&eric@garver\&.life\&>
.RS 4
توسعه‌دهنده
.RE