firewalld panic 模式是做什么的
panic 模式是 firewalld 提供的紧急隔离开关：开启后立即丢弃所有进出报文，并切断已建立的连接，等价于把主机的网络降到只保留最必要的本地通信。它适合应急响应阶段发现异常外联或蠕虫横向传播时，用一条命令快速止血。由于会保持到被显式关闭，处置结束后必须执行关闭动作并确认网络恢复。
基本信息
| 开启隔离 | firewall-cmd --panic-on |
|---|---|
| 查询状态 | firewall-cmd --query-panic |
| 关闭隔离 | firewall-cmd --panic-off |
| 生效范围 | 本机全部网络流量，含已建立的连接 |
| 适用平台 | 使用 firewalld 的发行版与版本 |
典型使用场景
- 发现主机存在异常外联时先切断网络，阻止数据继续外传
- 蠕虫或挖矿类事件蔓延阶段隔离单台主机，避免扩散到同网段
- 取证前的现场保护：先断网再做内存与磁盘证据保全
- 安全演练中模拟网络隔离动作，验证应急流程可执行
- 远程处置窗口内快速阻断，为后续精细化规则争取时间
- 临时物理隔离不方便时，用软件层面的开关替代拔网线
使用步骤
使用步骤
firewall-cmd --query-panic # 先确认当前状态
echo 处置原因与时间 >> /var/log/ir-actions.log # 记录动作，便于事后说明
firewall-cmd --panic-on # 立即阻断全部进出流量
firewall-cmd --query-panic # 应显示 yes
# 取证与处置完成后恢复：
firewall-cmd --panic-off # 关闭隔离，恢复原策略
firewall-cmd --query-panic # 确认已回到 no
firewall-cmd --list-all | head # 核对原有规则仍在
ping -c2 <网关> # 验证网络连通性恢复动作与影响
| 动作 | 影响 | 注意 |
|---|---|---|
| 开启隔离 | 全部进出流量被丢弃 | 远程 SSH 立即断开 |
| 隔离期间 | 规则保持不变，只是被覆盖 | 不影响原配置持久化内容 |
| 关闭隔离 | 恢复原规则生效 | 确认处置已完成再关闭 |
| 状态查询 | 只读操作，不改变状态 | 随时可用于确认现状 |
| 记录动作 | 留痕便于审计与复盘 | 写明时间、原因、操作人 |
开启后会立即切断远程 SSH：只有远程通道可用的机器，操作前必须确认带外管理（IPMI 串口、物理控制台）可用，否则自己会被隔离在系统之外。
网络隔离只是应急处置的第一步，只断网不做证据保全，内存中的进程与网络连接信息会随重启或进程退出而丢失，影响后续溯源与责任认定。