问 AI 助教考点精讲
- firewalld 是麒麟高级服务器 V10 默认的动态防火墙，底层是 netfilter/iptables。netfilter 有 raw、mangle、nat、filter 四表。zone 默认 9 个（block/dmz/drop/external/home/internal/public/trusted/work），默认 public。firewall-cmd 常用：--state 查状态、--get-zones 列 zone、--get-default-zone 查默认、--add-service/--remove-service 加减服务、--reload 重载、--permanent 永久生效、--add-rich-rule 富规则。服务配置在 /usr/lib/firewalld/services/、/etc/firewalld/services/、/etc/firewalld/zones/public.xml。
- 前后置引导：前置：先掌握「LVM 逻辑卷管理」（12-磁盘管理），本页在其基础上展开。；后置：继续学习「KYSEC 安全机制」（KYCP01-1 安全管理），承接下一知识点。
记忆技巧
firewalld 用「zone 区域」划分信任级别，默认 public（公共）；改配置加 --permanent 才永久，否则重启失效。
常见误区
- 改防火墙规则忘加 --permanent 导致重启失效
- zone 与 service 概念混淆
- 误以为 firewall-cmd 直接改 iptables 规则
真题思路
- 【示例】 firewalld 动态防火墙默认使用的 zone 是哪个？
trusted public home drop
答案：B
解析：firewalld 默认 zone 为 public（讲义 KYCP01-1 安全管理）。
常见问题
Q：如何让 firewall-cmd 的规则永久生效？
A：加 --permanent 参数，并用 --reload 重载。（解析：永久生效。）
Q：开放 http 服务用什么命令？
A：firewall-cmd --add-service=http --permanent && firewall-cmd --reload。（解析：开放服务。）
Q：firewalld 底层基于什么？
A：netfilter/iptables。（解析：底层机制。）
Q：查看防火墙状态用哪个命令？
A：firewall-cmd --state。（解析：状态查询。）
相关知识
教材出处：KYCP01-1 安全管理 防火墙 firewalld