گزینه‌های عمومی (General Options)

-h, --help

-V, --version

-q, --quiet

گزینه‌های وضعیت (Status Options)

--state

--reload

--complete-reload

--runtime-to-permanent

--check-config

--reset-to-defaults

گزینه‌های ثبت وقایع بسته‌های ردشده (Log Denied Options)

--get-log-denied

--set-log-denied=value

گزینه‌های ماندگار (Permanent Options)

--permanent

گزینه‌های ناحیه (Zone Options)

--get-default-zone

--set-default-zone=zone

--get-active-zones

zone1
  interfaces: interface1 interface2 ..
  sources: source1 ..
zone2
  interfaces: interface3 ..
zone3
  sources: source2 ..

[--permanent] --get-zones

[--permanent] --get-services

[--permanent] --get-icmptypes

[--permanent] --get-zone-of-interface=interface

[--permanent] --get-zone-of-source=source[/mask]|MAC|ipset:ipset

[--permanent] --info-zone=zone

zone
  interfaces: interface1 ..
  sources: source1 ..
  services: service1 ..
  ports: port1 ..
  protocols: protocol1 ..
  forward-ports:
        forward-port1
        ..
  source-ports: source-port1 ..
  icmp-blocks: icmp-type1 ..
  rich rules:
        rich-rule1
        ..

[--permanent] --list-all-zones

zone1
  interfaces: interface1 ..
  sources: source1 ..
  services: service1 ..
  ports: port1 ..
  protocols: protocol1 ..
  forward-ports:
        forward-port1
        ..
  icmp-blocks: icmp-type1 ..
  rich rules:
        rich-rule1
        ..
..

--permanent --new-zone=zone

--permanent --new-zone-from-file=filename [--name=zone]

--permanent --delete-zone=zone

--permanent --load-zone-defaults=zone

--permanent --path-zone=zone

گزینه‌های شیوه‌نامه (Policy Options)

[--permanent] --get-policies

[--permanent] --info-policy=policy

[--permanent] --list-all-policies

--permanent --new-policy=policy

--permanent --new-policy-from-file=filename [--name=policy]

--permanent --path-policy=policy

--permanent --delete-policy=policy

--permanent --load-policy-defaults=policy

گزینه‌های ویرایش و استعلام ناحیه‌ها و شیوه‌نامه‌ها (Options to Adapt and Query Zones and Policies)

گزینه‌های این بخش تنها بر یک ناحیه یا شیوه‌نامه خاص اثر می‌گذارند. در صورت استفاده همراه با گزینه --zone=zone یا --policy=policy، بر ناحیه یا شیوه‌نامه مشخص‌شده اثر می‌گذارند. در صورت حذف هر دو گزینه، بر ناحیه پیش‌فرض اثر می‌گذارند (گزینه --get-default-zone را ببینید).

[--permanent] [--zone=zone] [--policy=policy] --list-all

--permanent [--zone=zone] [--policy=policy] --get-target

--permanent [--zone=zone] [--policy=policy] --set-target=target

--permanent [--zone=zone] [--policy=policy] --set-description=description

--permanent [--zone=zone] [--policy=policy] --get-description

--permanent [--zone=zone] [--policy=policy] --set-short=description

--permanent [--zone=zone] [--policy=policy] --get-short

[--permanent] [--zone=zone] [--policy=policy] --list-services

[--permanent] [--zone=zone] [--policy=policy] --add-service=service [--timeout=timeval]

# firewall-cmd --permanent --new-policy clientConntrack
# firewall-cmd --permanent --policy clientConntrack --add-ingress-zone HOST
# firewall-cmd --permanent --policy clientConntrack --add-egress-zone ANY
# firewall-cmd --permanent --policy clientConntrack --add-service tftp

[--permanent] [--zone=zone] [--policy=policy] --remove-service=service

[--permanent] [--zone=zone] [--policy=policy] --query-service=service

[--permanent] [--zone=zone] [--policy=policy] --list-ports

[--permanent] [--zone=zone] [--policy=policy] --add-port=portid[-portid]/protocol [--timeout=timeval]

[--permanent] [--zone=zone] [--policy=policy] --remove-port=portid[-portid]/protocol

[--permanent] [--zone=zone] [--policy=policy] --query-port=portid[-portid]/protocol

[--permanent] [--zone=zone] [--policy=policy] --list-protocols

[--permanent] [--zone=zone] [--policy=policy] --add-protocol=protocol [--timeout=timeval]

[--permanent] [--zone=zone] [--policy=policy] --remove-protocol=protocol

[--permanent] [--zone=zone] [--policy=policy] --query-protocol=protocol

[--permanent] [--zone=zone] [--policy=policy] --list-source-ports

[--permanent] [--zone=zone] [--policy=policy] --add-source-port=portid[-portid]/protocol [--timeout=timeval]

[--permanent] [--zone=zone] [--policy=policy] --remove-source-port=portid[-portid]/protocol

[--permanent] [--zone=zone] [--policy=policy] --query-source-port=portid[-portid]/protocol

[--permanent] [--zone=zone] [--policy=policy] --list-icmp-blocks

[--permanent] [--zone=zone] [--policy=policy] --add-icmp-block=icmptype [--timeout=timeval]

[--permanent] [--zone=zone] [--policy=policy] --remove-icmp-block=icmptype

[--permanent] [--zone=zone] [--policy=policy] --query-icmp-block=icmptype

[--permanent] [--zone=zone] [--policy=policy] --list-forward-ports

[--permanent] [--zone=zone] [--policy=policy] --add-forward-port=port=portid[-portid]:proto=protocol[:toport=portid[-portid]][:toaddr=address[/mask]] [--timeout=timeval]

[--permanent] [--zone=zone] [--policy=policy] --remove-forward-port=port=portid[-portid]:proto=protocol[:toport=portid[-portid]][:toaddr=address[/mask]]

[--permanent] [--zone=zone] [--policy=policy] --query-forward-port=port=portid[-portid]:proto=protocol[:toport=portid[-portid]][:toaddr=address[/mask]]

[--permanent] [--zone=zone] [--policy=policy] --add-masquerade [--timeout=timeval]

[--permanent] [--zone=zone] [--policy=policy] --remove-masquerade

[--permanent] [--zone=zone] [--policy=policy] --query-masquerade

[--permanent] [--zone=zone] [--policy=policy] --list-rich-rules

[--permanent] [--zone=zone] [--policy=policy] --add-rich-rule='rule' [--timeout=timeval]

[--permanent] [--zone=zone] [--policy=policy] --remove-rich-rule='rule'

[--permanent] [--zone=zone] [--policy=policy] --query-rich-rule='rule'

گزینه‌های ویرایش و استعلام ناحیه‌ها (Options to Adapt and Query Zones)

گزینه‌های این بخش تنها بر یک ناحیه خاص اثر می‌گذارند. در صورت استفاده همراه با گزینه --zone=zone، بر ناحیه مشخص‌شده اثر می‌گذارند. در صورت حذف این گزینه، بر ناحیه پیش‌فرض اثر می‌گذارند (گزینه --get-default-zone را ببینید).

[--permanent] [--zone=zone] --add-icmp-block-inversion

[--permanent] [--zone=zone] --remove-icmp-block-inversion

[--permanent] [--zone=zone] --query-icmp-block-inversion

[--permanent] [--zone=zone] --add-forward

[--permanent] [--zone=zone] --remove-forward

[--permanent] [--zone=zone] --query-forward

--permanent [--zone=zone] --get-priority

--permanent [--zone=zone] --set-priority

--permanent [--zone=zone] --get-ingress-priority

--permanent [--zone=zone] --set-ingress-priority

--permanent [--zone=zone] --get-egress-priority

--permanent [--zone=zone] --set-egress-priority

گزینه‌های ویرایش و استعلام شیوه‌نامه‌ها (Options to Adapt and Query Policies)

گزینه‌های این بخش تنها بر یک شیوه‌نامه خاص اثر می‌گذارند. مشخص کردن گزینه --policy=policy همراه با این گزینه‌ها الزامی است.

--permanent --policy=policy --get-priority

--permanent --policy=policy --set-priority=priority

[--permanent] --policy=policy --list-ingress-zones

[--permanent] --policy=policy --add-ingress-zone=zone

[--permanent] --policy=policy --remove-ingress-zone=zone

[--permanent] --policy=policy --query-ingress-zone=zone

[--permanent] --policy=policy --list-egress-zones

[--permanent] --policy=policy --add-egress-zone=zone

[--permanent] --policy=policy --remove-egress-zone=zone

[--permanent] --policy=policy --query-egress-zone=zone

[--permanent] --policy=policy|--policy-set=policy-set --add-disable

[--permanent] --policy=policy|--policy-set=policy-set --remove-disable

[--permanent] --policy=policy --query-disable

گزینه‌های مدیریت اتصال رابط‌ها (Options to Handle Bindings of Interfaces)

متصل کردن یک رابط به یک ناحیه به این معنی است که تنظیمات آن ناحیه برای محدود کردن ترافیک از طریق آن رابط استفاده می‌شوند.

گزینه‌های این بخش تنها بر یک ناحیه خاص اثر می‌گذارند. در صورت استفاده همراه با گزینه --zone=zone، بر ناحیه zone اثر می‌گذارند. در صورت حذف این گزینه، بر ناحیه پیش‌فرض اثر می‌گذارند (گزینه --get-default-zone را ببینید).

برای دریافت فهرست ناحیه‌های از پیش تعریف‌شده از دستور زیر استفاده کنید: firewall-cmd --get-zones.

نام یک رابط رشته‌ای حداکثر تا ۱۶ نویسه است که نباید شامل ' '، '/'، '!' و '*' باشد.

[--permanent] [--zone=zone] --list-interfaces

[--permanent] [--zone=zone] --add-interface=interface

[--permanent] [--zone=zone] --change-interface=interface

[--permanent] [--zone=zone] --query-interface=interface

[--permanent] --remove-interface=interface

گزینه‌های مدیریت اتصال مبداها (Options to Handle Bindings of Sources)

متصل کردن یک مبدا به یک ناحیه به این معنی است که تنظیمات آن ناحیه برای محدود کردن ترافیک از این مبدا استفاده خواهند شد.

یک نشانی یا بازه نشانی مبدا می‌تواند یک نشانی IP، یا یک نشانی IP شبکه همراه با یک ماسک برای IPv4 یا IPv6، یا یک نشانی MAC، یا یک ipset با پیشوند ipset: باشد. برای IPv4، ماسک می‌تواند یک ماسک شبکه یا یک عدد ساده باشد. برای IPv6 ماسک یک عدد ساده است. استفاده از نام‌های میزبان پشتیبانی نمی‌شود.

گزینه‌های این بخش تنها بر یک ناحیه خاص اثر می‌گذارند. در صورت استفاده همراه با گزینه --zone=zone، بر ناحیه zone اثر می‌گذارند. در صورت حذف این گزینه، بر ناحیه پیش‌فرض اثر می‌گذارند (گزینه --get-default-zone را ببینید).

برای دریافت فهرست ناحیه‌های از پیش تعریف‌شده از دستور زیر استفاده کنید: firewall-cmd [--permanent] --get-zones.

[--permanent] [--zone=zone] --list-sources

[--permanent] [--zone=zone] --add-source=source[/mask]|MAC|ipset:ipset

[--zone=zone] --change-source=source[/mask]|MAC|ipset:ipset

[--permanent] [--zone=zone] --query-source=source[/mask]|MAC|ipset:ipset

[--permanent] --remove-source=source[/mask]|MAC|ipset:ipset

گزینه‌های IPSet (IPSet Options)

--get-ipset-types

--permanent --new-ipset=ipset --type=type [--family=inet|inet6] [--option=key[=value]]

--permanent --new-ipset-from-file=filename [--name=ipset]

--permanent --delete-ipset=ipset

--permanent --load-ipset-defaults=ipset

[--permanent] --info-ipset=ipset

ipset
  type: type
  options: option1[=value1] ..
  entries: entry1 ..

[--permanent] --get-ipsets

--permanent --ipset=ipset --set-description=description

--permanent --ipset=ipset --get-description

--permanent --ipset=ipset --set-short=description

--permanent --ipset=ipset --get-short

[--permanent] --ipset=ipset --add-entry=entry

[--permanent] --ipset=ipset --remove-entry=entry

[--permanent] --ipset=ipset --query-entry=entry

[--permanent] --ipset=ipset --get-entries

[--permanent] --ipset=ipset --add-entries-from-file=filename

[--permanent] --ipset=ipset --remove-entries-from-file=filename

--permanent --path-ipset=ipset

گزینه‌های سرویس (Service Options)

گزینه‌های این بخش تنها بر یک سرویس خاص اثر می‌گذارند.

[--permanent] --info-service=service

service
  ports: port1 ..
  protocols: protocol1 ..
  source-ports: source-port1 ..
  helpers: helper1 ..
  destination: ipv1:address1 ..

گزینه‌های زیر تنها در پیکربندی ماندگار قابل استفاده هستند.

--permanent --new-service=service

--permanent --new-service-from-file=filename [--name=service]

--permanent --delete-service=service

--permanent --load-service-defaults=service

--permanent --path-service=service

--permanent --service=service --set-description=description

--permanent --service=service --get-description

--permanent --service=service --set-short=description

--permanent --service=service --get-short

--permanent --service=service --add-port=portid[-portid]/protocol

--permanent --service=service --remove-port=portid[-portid]/protocol

--permanent --service=service --query-port=portid[-portid]/protocol

--permanent --service=service --get-ports

--permanent --service=service --add-protocol=protocol

--permanent --service=service --remove-protocol=protocol

--permanent --service=service --query-protocol=protocol

--permanent --service=service --get-protocols

--permanent --service=service --add-source-port=portid[-portid]/protocol

--permanent --service=service --remove-source-port=portid[-portid]/protocol

--permanent --service=service --query-source-port=portid[-portid]/protocol

--permanent --service=service --get-source-ports

--permanent --service=service --add-helper=helper

--permanent --service=service --remove-helper=helper

--permanent --service=service --query-helper=helper

--permanent --service=service --get-service-helpers

--permanent --service=service --set-destination=ipv:address[/mask]

--permanent --service=service --remove-destination=ipv

--permanent --service=service --query-destination=ipv:address[/mask]

--permanent --service=service --get-destinations

--permanent --service=service --add-include=service

--permanent --service=service --remove-include=service

--permanent --service=service --query-include=service

--permanent --service=service --get-includes

گزینه‌های کمکی (Helper Options)

گزینه‌های این بخش تنها بر یک دستیار (helper) خاص اثر می‌گذارند.

[--permanent] --info-helper=helper

helper
  family: family
  module: module
  ports: port1 ..

گزینه‌های زیر تنها در پیکربندی ماندگار قابل استفاده هستند.

--permanent --new-helper=helper --module=nf_conntrack_module [--family=ipv4|ipv6]

--permanent --new-helper-from-file=filename [--name=helper]

--permanent --delete-helper=helper

--permanent --load-helper-defaults=helper

--permanent --path-helper=helper

[--permanent] --get-helpers

--permanent --helper=helper --set-description=description

--permanent --helper=helper --get-description

--permanent --helper=helper --set-short=description

--permanent --helper=helper --get-short

--permanent --helper=helper --add-port=portid[-portid]/protocol

--permanent --helper=helper --remove-port=portid[-portid]/protocol

--permanent --helper=helper --query-port=portid[-portid]/protocol

--permanent --helper=helper --get-ports

--permanent --helper=helper --set-module=description

--permanent --helper=helper --get-module

--permanent --helper=helper --set-family=description

--permanent --helper=helper --get-family

گزینه‌های پروتکل کنترل پیام اینترنت (ICMP) (Internet Control Message Protocol (ICMP) type Options)

گزینه‌های این بخش تنها بر یک icmptype خاص اثر می‌گذارند.

[--permanent] --info-icmptype=icmptype

icmptype
  destination: ipv1 ..

گزینه‌های زیر تنها در پیکربندی ماندگار قابل استفاده هستند.

--permanent --new-icmptype=icmptype

--permanent --new-icmptype-from-file=filename [--name=icmptype]

--permanent --delete-icmptype=icmptype

--permanent --load-icmptype-defaults=icmptype

--permanent --icmptype=icmptype --set-description=description

--permanent --icmptype=icmptype --get-description

--permanent --icmptype=icmptype --set-short=description

--permanent --icmptype=icmptype --get-short

--permanent --icmptype=icmptype --add-destination=ipv

--permanent --icmptype=icmptype --remove-destination=ipv

--permanent --icmptype=icmptype --query-destination=ipv

--permanent --icmptype=icmptype --get-destinations

--permanent --path-icmptype=icmptype

گزینه‌های مستقیم (Direct Options)

منسوخ شده (DEPRECATED)

گزینه‌های مستقیم دسترسی مستقیم‌تری را به فایروال فراهم می‌کنند. این گزینه‌ها مستلزم آن هستند که کاربر با مفاهیم پایه‌ای iptables آشنا باشد؛ یعنی table (مانند filter/mangle/nat/...)، chain (مانند INPUT/OUTPUT/FORWARD/...)، commands (مانند -A/-D/-I/...)، parameters (مانند -p/-s/-d/-j/...) و targets (مانند ACCEPT/DROP/REJECT/...).

گزینه‌های مستقیم تنها باید به‌عنوان آخرین راهکار استفاده شوند، زمانی که امکان استفاده از گزینه‌هایی مانند --add-service=service یا --add-rich-rule='rule' وجود نداشته باشد.

هشدار: رفتار قواعد مستقیم بسته به مقدار FirewallBackend متفاوت است. بخش CAVEATS در firewalld.direct(5) را ببینید.

اولین آرگومان هر گزینه باید ipv4 یا ipv6 یا eb باشد. با ipv4 برای IPv4 (iptables(8))، با ipv6 برای IPv6 (ip6tables(8)) و با eb برای پل‌های اترنت (ebtables(8)) اعمال خواهد شد.

[--permanent] --direct --get-all-chains

[--permanent] --direct --get-chains { ipv4 | ipv6 | eb } table

[--permanent] --direct --add-chain { ipv4 | ipv6 | eb } table chain

[--permanent] --direct --remove-chain { ipv4 | ipv6 | eb } table chain

[--permanent] --direct --query-chain { ipv4 | ipv6 | eb } table chain

[--permanent] --direct --get-all-rules

[--permanent] --direct --get-rules { ipv4 | ipv6 | eb } table chain

[--permanent] --direct --add-rule { ipv4 | ipv6 | eb } table chain priority args

[--permanent] --direct --remove-rule { ipv4 | ipv6 | eb } table chain priority args

[--permanent] --direct --remove-rules { ipv4 | ipv6 | eb } table chain

[--permanent] --direct --query-rule { ipv4 | ipv6 | eb } table chain priority args

--direct --passthrough { ipv4 | ipv6 | eb } args

[--permanent] --direct --get-all-passthroughs

[--permanent] --direct --get-passthroughs { ipv4 | ipv6 | eb }

[--permanent] --direct --add-passthrough { ipv4 | ipv6 | eb } args

[--permanent] --direct --remove-passthrough { ipv4 | ipv6 | eb } args

[--permanent] --direct --query-passthrough { ipv4 | ipv6 | eb } args

گزینه‌های اضطراری (Panic Options)

--panic-on

--panic-off

--query-panic

مثال ۱ (Example 1)

فعال‌سازی سرویس http در ناحیه پیش‌فرض. این یک تغییر تنها در زمان اجرا است؛ یعنی تا زمان راه‌اندازی مجدد موثر خواهد بود.

firewall-cmd --add-service=http

مثال ۲ (Example 2)

فعال‌سازی پورت 443/tcp به‌صورت فوری و ماندگار در ناحیه پیش‌فرض. برای اینکه تغییر فوراً و همچنین پس از راه‌اندازی مجدد اعمال شود، به دو دستور نیاز داریم. دستور اول تغییر را در پیکربندی زمان اجرا اعمال می‌کند؛ یعنی فوراً تا زمان راه‌اندازی مجدد موثر می‌شود. دستور دوم تغییر را در پیکربندی ماندگار اعمال می‌کند؛ یعنی پس از راه‌اندازی مجدد موثر خواهد بود.

firewall-cmd --add-port=443/tcp
firewall-cmd --permanent --add-port=443/tcp