先看清现状再改规则
firewalld 是 RHEL 系的默认防火墙管理工具，用“区域 + 服务”的抽象管理底层的 nftables 规则。判断放行是否合理，第一步不是加规则，而是看清运行状态、默认区域与每个区域的活动接口，否则很容易出现“规则明明写了却不生效”——多半是流量根本没落在你以为的那个区域。变更前把现状导出留档，是防护墙类操作最基本的安全垫。
基本信息
| 加固项 | 防火墙运行态与区域盘点 |
|---|---|
| 适用平台 | Linux（RHEL 7+、CentOS、Fedora、部分 SUSE） |
| 权限要求 | root 或已授权的 polkit 用户 |
| 常用工具 | firewall-cmd、firewall-config、systemctl |
| 配置位置 | /etc/firewalld/（zones、services、direct） |
典型使用场景
- 接手一台新服务器，先盘点现有放行面再决定加什么规则
- 排查“端口已放行但访问不通”的区域归属问题
- 变更前导出区域配置留档，作为回滚依据
- 巡检时确认防火墙处于运行状态，而不是被动放行
- 多网卡服务器按接口划分不同信任级别
状态与区域总览
状态与区域总览
systemctl status firewalld --no-pager # 服务是否在跑、是否开机自启
firewall-cmd --state # 期望 running
firewall-cmd --get-default-zone # 默认区域，常见 public
firewall-cmd --get-active-zones # 哪些接口或来源绑在哪个区域
firewall-cmd --list-all # 默认区域的完整规则概览
firewall-cmd --zone=public --list-all # 逐个区域核查，才是完整画面常用查询命令
| 命令 | 输出内容 | 读法 |
|---|---|---|
| --state | running / not running | not running 时运行时规则层不可用 |
| --get-active-zones | 区域与绑定接口 | 确认业务网卡落在哪个区域 |
| --list-all | 默认区域的服务、端口、源、目标 | 这是最常用的现状快照 |
| --list-all-zones | 所有区域配置 | 找隐藏的放行项时必看 |
| --get-services | 系统预定义服务列表 | 放行前确认服务名是否自带端口定义 |
区域匹配有优先级：绑定到具体来源地址的区域优先于接口所属区域，接口所属区域又优先于默认区域。规则“不生效”时，先用 --get-active-zones 确认流量实际落在哪个区域，再去看那个区域的规则，比反复改规则有效得多。
firewalld 未运行时，--state 返回 not running，此时 --add-port 之类的运行时操作会失败或毫无意义；同时要注意同一台机器上混用 firewalld 与手工 iptables/nftables 规则会互相覆盖，排查异常放行前先确认到底是谁在管这套规则。