firewalld规则添加后立即失效，主因是未加--permanent参数、未指定正确zone、协议/端口格式错误或富规则语法不合法。需先永久添加再重载，并确认活跃zone及格式规范。
firewalld 添加规则后立即失效，通常不是服务没运行或配置没重载，而是命令写法本身存在逻辑错误——规则没加到预期的 zone，或者没指定永久生效，又或者协议/端口格式不对。
没加 --permanent 参数，重启或重载后规则丢失
firewalld 区分“运行时（runtime）”和“永久（permanent）”两套配置。只用 firewall-cmd --add-port=8080/tcp 这类命令，规则只存在于当前内存中，一旦执行 firewall-cmd --reload 或系统重启，就会清空。
- 正确做法：先加永久规则，再重载生效
firewall-cmd --permanent --add-port=8080/tcpfirewall-cmd --reload - 误操作示例：
firewall-cmd --add-port=8080/tcp && firewall-cmd --reload—— reload 会丢掉刚才加的 runtime 规则，且 permanent 里根本没存
没指定 --zone，规则加到了默认 zone 而非实际使用的 zone
很多用户修改了默认 zone（比如设为 public），但没注意当前网卡实际绑定的是 trusted 或自定义 zone；或者压根没查清楚自己在用哪个 zone。
- 先确认当前活跃 zone：
firewall-cmd --get-active-zones - 查看某 zone 的现有规则：
firewall-cmd --zone=public --list-all - 加规则时显式指定 zone：
firewall-cmd --permanent --zone=public --add-port=8080/tcp - 常见错误：省略
--zone，结果规则进了public（默认），但你的服务跑在docker或internalzone 下，自然不生效
协议写成 tcp 却开放了 UDP 流量，或端口范围格式错误
firewalld 对协议和端口格式敏感。写错协议类型、混用短横与冒号、漏写协议，都会导致规则看似添加成功，实则匹配不到流量。
- 开放 UDP 端口必须写
udp：--add-port=53/udp，不能写53/tcp或只写53 - 端口范围用短横
-，不是冒号：--add-port=10000-10010/udp✅，10000:10010/udp❌（后者会被忽略） - 服务名必须真实存在：
--add-service=http可以，但--add-service=myapp若未定义 service 文件，则无效
添加富规则（rich rule）时缺少关键字段或语法错位
富规则功能强但容错低。少一个引号、漏一个 accept、把 source 和 port 顺序写反，都可能导致规则解析失败，--reload 后直接被跳过。
- 正确示例（允许某 IP 访问 22 端口）：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="22" protocol="tcp" accept' - 典型错误：
• 漏掉family="ipv4"（部分版本会静默失败）
• 把port port="22"写成port="22"（语法不合法）
• 单引号位置错，导致 shell 解析出错，命令看似执行成功，实际没加进配置
