firewalld.service添加端口后不生效？

Question

在使用 firewalld.service 时，常见问题之一是执行 `firewall-cmd --add-port=8080/tcp` 后端口临时开放成功，但系统重启或服务重载后规则失效。此问题通常因未持久化配置所致：命令未加 `--permanent` 参数，导致规则仅写入运行时配置。此外，即使添加了 `--permanent`，未执行 `firewall-cmd --reload` 也可能使更改不生效。建议排查步骤包括确认区域（zone）设置正确、服务状态正常运行，并检查 SELinux 或其他安全策略是否干扰。最终应使用 `--permanent` 并重载防火墙以确保规则持久有效。

Answer 1

1. 常见现象与初步分析

在使用 firewalld.service 时，一个高频出现的问题是执行如下命令：

firewall-cmd --add-port=8080/tcp

该命令成功开放了 8080 端口，服务可立即访问。但当系统重启或执行 firewall-cmd --reload 后，端口规则失效，导致服务无法被外部访问。这种“临时生效、重启丢失”的行为本质上源于 firewalld 的运行时（runtime）与持久化（permanent）配置分离机制。

2. 防火墙配置的双模式机制

firewalld 区分两种配置状态：

• Runtime Configuration：当前运行中的规则，由 --add-port 等不带 --permanent 的命令写入，重启或重载后丢失。
• Permanent Configuration：存储在磁盘上的持久化规则，需通过 --permanent 参数写入，并通过 --reload 激活。

若仅执行临时规则添加，未同步至持久层，则服务重启后将恢复为上次保存的永久配置。

3. 正确的持久化操作流程

为确保端口规则长期有效，应遵循以下步骤：

1. 添加永久端口规则：
   firewall-cmd --permanent --add-port=8080/tcp
2. 重载防火墙以激活持久配置：
   firewall-cmd --reload
3. 验证规则是否生效：
   firewall-cmd --list-ports

注意：即使使用了 --permanent，也必须执行 --reload 才能使更改反映到运行时环境中。

4. 区域（Zone）配置的影响

firewalld 的规则依赖于区域设置。默认区域通常为 public，但可通过以下命令确认：

firewall-cmd --get-default-zone

若未明确指定区域，规则可能被应用到错误的 zone 中。建议显式指定：

firewall-cmd --zone=public --permanent --add-port=8080/tcp

Zone 名称	典型用途
public	公共网络，限制较多
internal	内部受信任网络
trusted	完全信任的接口

5. 排查流程与诊断方法

当规则未生效时，建议按以下顺序排查：

1. 检查 firewalld 服务状态：
   systemctl status firewalld
2. 确认运行时规则列表：
   firewall-cmd --list-all
3. 查看永久配置：
   firewall-cmd --permanent --list-all
4. 验证端口是否在监听：
   ss -tuln | grep 8080
5. 检查 SELinux 是否阻止连接：
   sestatus 和 ausearch -m avc -ts recent

6. 安全策略干扰分析

SELinux 或其他安全模块（如 AppArmor）可能拦截本已放行的端口连接。例如，SELinux 可能限制 http_port_t 类型未包含 8080。可通过以下命令临时测试：

setsebool -P httpd_can_network_connect 1

或添加端口到 SELinux 策略：

semanage port -a -t http_port_t -p tcp 8080

此步骤常被忽视，但对复杂环境至关重要。

7. 自动化部署中的最佳实践

在脚本或 Ansible Playbook 中配置 firewalld 时，应避免仅依赖 runtime 命令。推荐结构如下：

firewall-cmd --permanent --zone=public --add-port=8080/tcp
firewall-cmd --reload

此外，可在 systemd service 文件中添加依赖关系，确保 firewalld 先于应用服务启动。

8. 故障模拟与验证流程图

graph TD A[执行 firewall-cmd --add-port=8080/tcp] --> B{端口是否立即可用?} B -- 是 --> C[重启系统或 reload firewalld] C --> D{端口是否仍开放?} D -- 否 --> E[检查是否使用 --permanent] E --> F[添加 --permanent 并 reload] F --> G[验证永久规则] G --> H[确认 SELinux/区域设置] H --> I[问题解决]

9. 高级调试技巧

启用 firewalld 日志跟踪可帮助定位问题：

firewall-cmd --set-log-denied=all

日志将记录被拒绝的数据包，路径通常位于 /var/log/messages 或 journald 输出中。结合 journalctl -u firewalld 可追踪配置加载过程。

10. 多节点环境下的配置一致性

在集群或容器化部署中，firewalld 规则易因配置漂移而失效。建议采用配置管理工具（如 Puppet、Chef）统一推送规则。示例 Ansible 任务：

- name: Open 8080/tcp permanently
  firewalld:
    port: 8080/tcp
    permanent: true
    state: enabled
    zone: public
  notify: reload firewalld

通过 handler 实现自动重载，确保变更生效。