1. 初识Firewalld区域策略

第一次接触Firewalld时，我被它的"区域(Zone)"概念深深吸引。这就像给服务器设计一套智能门禁系统：不同安全等级的网络流量会被自动引导到对应的安检通道。想象一下，你家小区有大门、车库入口和快递柜三个通道，每个通道的安检严格程度都不一样——这就是Firewalld区域策略的核心思想。

在CentOS/RHEL 7及更高版本中，Firewalld已经取代iptables成为默认防火墙工具。我曾在生产环境吃过iptables的亏：某次紧急修改规则时忘记保存，服务器重启后所有规则丢失。而Firewalld的动态管理特性完美解决了这个问题——规则修改即时生效，还能区分运行时配置和永久配置。

九个预定义区域就像九种不同安全等级的门禁方案：

• public（公共区域）：像商场大门，只允许已知安全的服务进入
• internal（内部区域）：像公司内部门禁，对员工开放更多权限
• dmz（隔离区）：像银行ATM隔间，内外网流量严格隔离
• drop（丢弃区）：最严格的安检，连拒绝通知都不给

2. 区域策略实战配置

2.1 查看当前区域状态

刚装好的CentOS服务器，默认使用public区域。通过这几个命令可以快速摸底：

# 查看默认区域 firewall-cmd --get-default-zone # 查看活跃区域及绑定的网卡 firewall-cmd --get-active-zones # 显示public区域详细规则（默认区域） firewall-cmd --zone=public --list-all

最近给某客户部署Web服务器时就踩过坑：他们的运维团队在public区域只放行了SSH，结果Nginx服务启动后外部始终无法访问。后来发现是忘了放行HTTP/HTTPS端口：

# 临时放行HTTP服务（重启失效） firewall-cmd --add-service=http # 永久放行HTTPS服务 firewall-cmd --add-service=https --permanent firewall-cmd --reload

2.2 多网卡分区域管理

对于有多个网卡的服务器（比如同时连接内网和外网），区域策略的优势就凸显出来了。上周处理的一个案例：数据库服务器需要eth0对外提供服务，eth1只允许管理网段访问。

# 将eth1绑定到internal区域 firewall-cmd --zone=internal --change-interface=eth1 --permanent # 设置internal区域只允许192.168.1.0/24访问 firewall-cmd --zone=internal --add-source=192.168.1.0/24 --permanent # 重载配置 firewall-cmd --reload

关键点：网卡绑定区域的优先级高于默认区域。当流量从eth1进入时，会直接应用internal区域的规则，而不会走public区域的检查流程。

3. 服务与端口精细控制

3.1 预定义服务管理

Firewalld内置了70+常见服务定义，存放在/usr/lib/firewalld/services/目录。比如要放行MySQL服务：

# 查看所有可用服务 firewall-cmd --get-services # 临时放行MySQL firewall-cmd --add-service=mysql # 永久放行并立即生效 firewall-cmd --add-service=mysql --permanent firewall-cmd --reload

曾遇到个有趣案例：客户使用非标准端口(3307)运行MySQL，直接放行mysql服务不生效。这时有两种解决方案：

1. 修改服务定义（推荐长期使用）

sudo cp /usr/lib/firewalld/services/mysql.xml /etc/firewalld/services/ sudo vi /etc/firewalld/services/mysql.xml # 修改port为3307

2. 直接放行端口（临时方案）

firewall-cmd --add-port=3307/tcp

3.2 高级端口控制

对于需要开放端口范围或限制源IP的场景，rich rules（富规则）是利器。比如只允许特定IP访问Redis端口：

firewall-cmd --zone=public --add-rich-rule=' rule family="ipv4" source address="192.168.1.100/32" port protocol="tcp" port="6379" accept'

实用技巧：使用--timeout参数设置临时规则，比如开放测试端口2小时：

firewall-cmd --add-port=8080/tcp --timeout=7200

4. 生产环境最佳实践

4.1 安全加固方案

根据服务器角色选择默认区域：

• Web服务器：建议保持public区域，精确放行80/443端口
• 数据库服务器：改用internal区域，限制访问源IP
• 跳板机：使用dmz区域，配合SSH密钥认证

关键配置流程：

1. 先通过firewall-cmd --runtime-to-permanent保存测试通过的规则
2. 定期备份/etc/firewalld/目录
3. 使用firewall-cmd --list-all-zones导出完整配置

4.2 故障排查指南

当遇到网络连接问题时，按这个顺序检查：

1. 确认firewalld服务运行状态：systemctl status firewalld
2. 检查默认区域：firewall-cmd --get-default-zone
3. 查看具体规则：firewall-cmd --list-all
4. 检查端口是否真正开放：telnet 服务器IP 端口号

最近解决的一个典型故障：某应用服务器能ping通但端口无法访问。最终发现是区域配置冲突——网卡绑定了drop区域，而默认区域是public。通过firewall-cmd --get-active-zones快速定位了问题。

5. 可视化工具辅助管理

对于不熟悉命令行的用户，可以安装firewall-config图形工具：

yum install firewall-config -y

启动后会看到直观的区域、服务、端口管理界面。不过我在生产环境还是更推荐命令行操作，因为：

1. 可记录操作历史
2. 方便批量执行
3. 适合通过自动化工具部署

记得第一次给团队培训Firewalld时，有个同事问："为什么我的规则老是被覆盖？"后来发现他在图形界面和命令行混着操作，导致配置互相覆盖。所以强烈建议选定一种管理方式并保持统一。