CentOS 7防火墙配置指南：firewalld开放端口与永久规则详解

说实话，给 CentOS 7 配置防火墙开放端口，是我在做运维和项目部署时碰到最多、也最容易翻车的一件事。明明代码没问题、服务起来了、端口也在监听，可就是访问不通，最后折腾半天发现是防火墙这一环没处理好。这篇文章从头到尾讲一遍 CentOS 7 下防火墙（firewalld）的安装、启动、开放端口、保存规则，以及我在真实项目里踩过的各种坑和排查方法。不管你是刚接触 Linux 的新手，还是已经部署过几个项目但总在端口问题上卡壳的人，照着下面的思路和命令走，基本能把端口访问这个问题一次性理清楚。

1. 先把概念理清楚：CentOS 7 的防火墙体系到底是怎么回事

1.1 firewalld 到底是什么，它和 iptables 是什么关系

先说一个很多人困惑的点：CentOS 7 默认防火墙是 firewalld，但它并不是一个和 iptables 完全无关的新东西。Linux 内核里真正干数据包过滤活的是 netfilter 框架，iptables 只是操作 netfilter 规则的传统命令行工具。firewalld 则是一个守护进程，它通过 D-Bus 接口把规则动态下发到底层，本质上最后还是落到 iptables 或者 nftables 上。换句话说，你可以把 firewalld 看成是一层"管理界面"，它的核心好处是支持动态修改规则，不用像以前 iptables 那样改完就要重启服务，一重启所有连接就断了，对生产环境来说这是很伤的事情。

另外要注意：CentOS 7 里 firewalld 和 iptables-services 是可以并存的，但如果两个都启用，规则会互相干扰。我在实际工作中碰到过一些习惯用旧命令的运维，上来就 systemctl start iptables，结果把 firewalld 的规则冲掉了，服务器彻底连不上，只能去控制台修复。这套东西的定位需要心里有数，后面我会专门讲这个坑。

1.2 zone（区域）是什么？用小区门禁来理解

zone 这个概念，我建议你用小区门禁来理解。一个 zone 就是一套准入策略：public 区域相当于小区的公共大门，默认只有少数指定的"客人"（端口/服务）能进；internal 区域相当于自家单元门，信任级别更高；trusted 区域就相当于你自己家门，进来的人基本都信任，默认放行一切新连接。CentOS 7 默认 zone 是 public，绝大多数云服务器安装完以后也都是这个默认值。

你可能会问：为什么要有这么多 zone？因为在不同的网络环境里，对同一个服务器的信任程度是不一样的。比如在家里的局域网，你可以用 trusted；在公网上跑业务，就必须用 public。防火墙的 zone 机制就是让你把"不同的网络接口"（eth0、ens33、docker0 这些）挂到不同的策略下面，这样同一台机器既能对外严格防守，又能对内部网络保持高效。开放端口的时候，我建议大多数情况下都明确指定 --zone=public，不要依赖隐式默认，这样规则文件一看就清楚。

2. 安装与初始化：从零把防火墙跑起来

2.1 先看当前状态再动手

拿到一台新机器，第一件事是确认它现在是什么状态。我推荐用这几个命令：

bash复制systemctl status firewalld
firew