firewalld是Linux主流防火墙工具，通过区域管理网络流量。使用systemctl启动服务后，可配置public等区域规则；利用firewall-cmd开放端口（如80/tcp）或添加内置服务（http/https），需--permanent参数确保持久生效，并执行--reload重载规则。可设置信任网段（192.168.1.0/24）、临时开放SSH端口及rich规则限制特定IP访问数据库端口，避免误封关键服务，兼顾安全与灵活性。
Linux系统中的防火墙主要用于控制进出系统的网络流量，保障服务器安全。目前主流的Linux发行版（如CentOS 8、Ubuntu 20.04及以上）大多使用firewalld或iptables作为防火墙管理工具。本文以firewalld为例，介绍Linux防火墙设置的详细步骤与实用技巧。
查看防火墙状态
在配置防火墙前，先确认当前防火墙服务是否运行：
- systemctl status firewalld —— 查看firewalld服务状态
- firewall-cmd --state —— 检查防火墙是否正在运行
如果服务未启动，可使用以下命令启用并设置开机自启：
- systemctl start firewalld
- systemctl enable firewalld
管理端口和服务
firewalld通过“区域（zone）”管理网络连接，常用区域有public、trusted、drop等。默认区域通常为public。
开放特定端口示例：
- firewall-cmd --permanent --add-port=80/tcp —— 开放TCP 80端口
- firewall-cmd --permanent --add-port=443/tcp —— 开放HTTPS端口
- firewall-cmd --permanent --remove-port=8080/udp —— 关闭UDP 8080端口
添加常用服务（firewalld内置服务）更方便：
- firewall-cmd --permanent --add-service=http
- firewall-cmd --permanent --add-service=https
- firewall-cmd --permanent --add-service=ssh
修改后必须重载配置才能生效：
配置区域与源地址规则
可以根据不同网络环境划分区域，例如允许内网IP无需限制：
- firewall-cmd --permanent --zone=trusted --add-source=192.168.1.0/24 —— 将内网网段加入信任区
- firewall-cmd --zone=public --add-port=22/tcp --timeout=300 —— 临时开放SSH端口5分钟（用于调试）
查看当前区域规则：
firewall-cmd --list-all高级技巧与注意事项
合理使用防火墙能提升安全性，但也需注意操作细节：
- 避免误封SSH端口，建议先测试规则或保留临时访问通道
- 使用--permanent参数确保规则重启后仍有效
- 定期检查开放端口：firewall-cmd --list-ports 和 --list-services
- 若需兼容旧脚本，可安装iptables-service，但不建议同时运行多个防火墙工具
对于开发者或测试环境，可结合rich rules实现更精细控制，例如限制某IP访问特定端口：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.2.100" port protocol="tcp" port="3306" reject'基本上就这些。掌握firewalld的基本命令和逻辑结构，就能高效管理Linux系统的网络访问权限。关键在于理解“区域+服务/端口+永久性”的配置模式，做到安全与便利兼顾。
