مقدمه

یکی از مهم‌ترین بخش‌های امنیت هر سرور لینوکسی، مدیریت صحیح فایروال است. حتی اگر سیستم‌عامل و نرم‌افزارهای شما به‌روز باشند، باز بودن پورت‌های غیرضروری می‌تواند راه نفوذ مهاجمان را هموار کند.

در دنیای لینوکس ابزارهای مختلفی برای مدیریت فایروال وجود دارد که Firewalld یکی از محبوب‌ترین آن‌ها است. این ابزار به‌صورت پیش‌فرض در بسیاری از توزیع‌های سازمانی مانند AlmaLinux، Rocky Linux، CentOS و RHEL استفاده می‌شود و امکانات پیشرفته‌ای مانند Zone، Service، Rich Rule و مدیریت پویا (Dynamic) قوانین را در اختیار مدیران سیستم قرار می‌دهد.

در این مقاله، با Firewalld، نحوه کار آن، تفاوت آن با UFW و سناریوهای مناسب برای استفاده از هرکدام آشنا خواهیم شد.

Firewalld چیست؟

Firewalld یک سرویس مدیریت فایروال برای لینوکس است که قوانین مربوط به ترافیک شبکه را مدیریت می‌کند.

برخلاف ابزارهای قدیمی، Firewalld امکان تغییر قوانین را بدون نیاز به راه‌اندازی مجدد فایروال فراهم می‌کند.

امروزه Firewalld در بیشتر توزیع‌های Enterprise لینوکس به‌عنوان ابزار پیش‌فرض مدیریت فایروال شناخته می‌شود.

Firewalld چگونه کار می‌کند؟

Firewalld یک لایه مدیریتی روی nftables (و در برخی سیستم‌های قدیمی‌تر، iptables) است.

به‌جای اینکه مستقیماً Ruleهای پیچیده nftables را بنویسید، Firewalld آن‌ها را از طریق دستورات ساده مدیریت می‌کند.

بررسی نصب Firewalld

در بیشتر توزیع‌های RHEL-based به‌صورت پیش‌فرض نصب است.

برای بررسی:

firewall-cmd --version

نصب Firewalld

در Ubuntu:

sudo apt update
sudo apt install firewalld -y

در AlmaLinux و Rocky Linux:

sudo dnf install firewalld -y

فعال کردن سرویس

sudo systemctl enable firewalld

sudo systemctl start firewalld

بررسی وضعیت

sudo systemctl status firewalld

همچنین:

sudo firewall-cmd --state

نمونه خروجی:

running

Zone چیست؟

مهم‌ترین مفهوم در Firewalld مفهوم Zone است.

Zone مجموعه‌ای از قوانین امنیتی است که برای یک یا چند رابط شبکه (Network Interface) اعمال می‌شود.

به بیان ساده، هر Zone مشخص می‌کند که یک شبکه تا چه اندازه مورد اعتماد است.

مشاهده Zoneهای موجود

sudo firewall-cmd --get-zones

نمونه خروجی:

block
dmz
drop
external
home
internal
public
trusted
work

Zone پیش‌فرض

برای مشاهده Zone فعال:

sudo firewall-cmd --get-default-zone

در بیشتر سرورها مقدار پیش‌فرض:

public

است.

مشاهده قوانین Zone

sudo firewall-cmd --list-all

باز کردن یک سرویس

برای مثال SSH:

sudo firewall-cmd --permanent --add-service=ssh

HTTP:

sudo firewall-cmd --permanent --add-service=http

HTTPS:

sudo firewall-cmd --permanent --add-service=https

اعمال تغییرات:

sudo firewall-cmd --reload

باز کردن یک پورت

برای مثال:

sudo firewall-cmd --permanent --add-port=8080/tcp

اعمال تغییرات:

sudo firewall-cmd --reload

حذف یک پورت

sudo firewall-cmd --permanent --remove-port=8080/tcp

حذف یک پورت یا سرویس در Firewalld

گاهی پس از پایان استفاده از یک سرویس یا تغییر پیکربندی سرور، لازم است دسترسی به یک پورت یا سرویس را از طریق فایروال مسدود کنید. حذف پورت‌ها و سرویس‌های غیرضروری یکی از اصول مهم امنیت سرور و اجرای اصل Least Privilege (حداقل دسترسی) است.

بستن یک سرویس

برای مثال، اگر دیگر نیازی به دسترسی HTTP ندارید:

sudo firewall-cmd --permanent --remove-service=http

یا برای غیرفعال کردن دسترسی SSH:

sudo firewall-cmd --permanent --remove-service=ssh

بستن یک پورت

برای مثال، اگر قبلاً پورت 8080 را باز کرده‌اید:

sudo firewall-cmd --permanent --remove-port=8080/tcp

یا برای بستن یک پورت UDP:

sudo firewall-cmd --permanent --remove-port=5353/udp

اعمال تغییرات

پس از حذف سرویس یا پورت، تغییرات را اعمال کنید:

sudo firewall-cmd --reload

بررسی نتیجه

برای مشاهده سرویس‌های مجاز:

sudo firewall-cmd --list-services

برای مشاهده پورت‌های باز:

sudo firewall-cmd --list-ports

در صورتی که سرویس یا پورت حذف‌شده دیگر در خروجی نمایش داده نشود، قانون با موفقیت حذف شده است.

نکته: قبل از حذف سرویس‌هایی مانند SSH، مطمئن شوید از روش دیگری (مانند کنسول VPS، KVM یا یک نشست SSH فعال) به سرور دسترسی دارید. حذف اشتباه دسترسی SSH می‌تواند باعث از دست رفتن امکان مدیریت سرور از راه دور شود.

مشاهده پورت‌های باز

sudo firewall-cmd --list-ports

مشاهده سرویس‌های مجاز

sudo firewall-cmd --list-services

Rich Rules چیست؟

یکی از قابلیت‌های مهم Firewalld قابلیت Rich Rules است.

این قابلیت امکان تعریف قوانین پیشرفته را فراهم می‌کند.

برای مثال:

اجازه SSH فقط از یک IP:

sudo firewall-cmd \
--permanent \
--add-rich-rule='rule family="ipv4" source address="203.0.113.10" service name="ssh" accept'

محدود کردن بر اساس IP

برای مثال:

sudo firewall-cmd \
--permanent \
--add-rich-rule='rule family="ipv4" source address="198.51.100.20" drop'

مشاهده قوانین Rich

sudo firewall-cmd --list-rich-rules

تفاوت Runtime و Permanent

Firewalld دو نوع تنظیم دارد.

Runtime

تغییرات تا زمان ریبوت باقی می‌مانند.

Permanent

تغییرات دائمی هستند.

پس از اعمال تنظیمات دائمی باید دستور زیر اجرا شود:

sudo firewall-cmd --reload

بررسی تمام تنظیمات

sudo firewall-cmd --list-all

سناریوی پیشنهادی برای Web Server

sudo firewall-cmd --permanent --add-service=http

sudo firewall-cmd --permanent --add-service=https

sudo firewall-cmd --permanent --add-service=ssh

sudo firewall-cmd --reload

سناریوی پیشنهادی برای Database Server

بهتر است به جای باز کردن پورت MySQL برای همه، فقط IP سرور وب را مجاز کنید.

تفاوت Firewalld و UFW

UFW یا Firewalld؛ کدام را انتخاب کنیم؟

اگر از Ubuntu یا Debian استفاده می‌کنید و نیازهای معمولی مانند باز کردن چند پورت، محدود کردن SSH یا مدیریت سرویس‌های رایج را دارید، UFW انتخاب ساده‌تر و مناسب‌تری است.

اگر از AlmaLinux، Rocky Linux یا RHEL استفاده می‌کنید یا در محیط‌های سازمانی با چندین رابط شبکه، Zoneهای مختلف و قوانین پیچیده کار می‌کنید، Firewalld امکانات بیشتری در اختیار شما قرار می‌دهد.

Firewalld یا nftables؟

این دو رقیب یکدیگر نیستند.

• nftables موتور اصلی مدیریت قوانین فایروال در هسته لینوکس است.
• Firewalld ابزاری برای مدیریت آسان این قوانین است.

در واقع، Firewalld در بسیاری از توزیع‌های جدید از nftables برای اعمال قوانین استفاده می‌کند.

اشتباهات رایج

برخی از خطاهای متداول عبارت‌اند از:

• اعمال تغییرات Permanent بدون اجرای reload
• باز کردن پورت‌های غیرضروری
• استفاده از Zone اشتباه
• باز کردن پورت دیتابیس برای کل اینترنت
• عدم بررسی قوانین پس از اعمال تغییرات

بهترین روش‌ها

برای افزایش امنیت:

• فقط سرویس‌های موردنیاز را باز کنید.
• از Rich Rule برای محدود کردن IPها استفاده کنید.
• Zone مناسب را انتخاب کنید.
• پس از هر تغییر، قوانین را بررسی کنید.
• تنظیمات Runtime را در صورت نیاز به Permanent تبدیل کنید.
• از اصل Least Privilege در تعریف قوانین استفاده کنید.

چک‌لیست

پس از راه‌اندازی Firewalld، موارد زیر را بررسی کنید:

• سرویس Firewalld فعال است.
• Zone مناسب انتخاب شده است.
• فقط سرویس‌های ضروری باز هستند.
• قوانین Permanent ذخیره شده‌اند.
• تغییرات با reload اعمال شده‌اند.
• دسترسی SSH قبل از هر تغییر آزمایش شده است.

جمع‌بندی

Firewalld یکی از قدرتمندترین ابزارهای مدیریت فایروال در لینوکس است که با استفاده از مفاهیمی مانند Zone، Service و Rich Rule، امکان مدیریت حرفه‌ای ترافیک شبکه را فراهم می‌کند. این ابزار به‌ویژه در توزیع‌های Enterprise مانند AlmaLinux، Rocky Linux و RHEL به‌عنوان گزینه پیش‌فرض شناخته می‌شود.

اگرچه UFW برای بسیاری از سرورهای Ubuntu و Debian به دلیل سادگی انتخاب مناسبی است، اما Firewalld امکانات پیشرفته‌تری برای مدیریت زیرساخت‌های بزرگ و سناریوهای پیچیده ارائه می‌دهد. در نهایت، هر دو ابزار قوانین خود را بر پایه موتور فایروال لینوکس اعمال می‌کنند و انتخاب بین آن‌ها به توزیع لینوکس، نیازهای شبکه و سطح پیچیدگی زیرساخت شما بستگی دارد.

کیان پور