Scope
This original IROSG guide covers مدیریت firewall در Linux با firewalld و nftables using the cited primary documentation.
Core model
firewalld مفهوم zone، service و runtime/permanent را ارائه می‌کند و ruleها را روی backend packet filtering اعمال می‌کند. zone باید بیانگر trust level interface/source باشد، نه صرفاً نام دلخواه.
Practical workflow
ابتدا active zone و interface mapping را بررسی کنید، serviceهای لازم را به‌جای portهای پراکنده تعریف کنید و تغییر runtime را قبل از permanent شدن تست کنید. برای rule پیچیده direct/rich rule را با مستندات دقیق استفاده کنید.
Failure modes
تغییر فقط runtime بعد از reboot از بین می‌رود و تغییر permanent بدون reload فوراً فعال نیست. بازکردن service روی zone اشتباه نیز یکی از خطاهای معمول است.
Lab
دو interface یا source network را در zoneهای متفاوت قرار دهید، SSH را فقط در zone مدیریت باز کنید و packet path را با nft list ruleset و firewall-cmd مقایسه کنید.
Production method
Capture a baseline, change one variable at a time, test positive and negative paths, keep evidence, and rehearse rollback before broad rollout.
