firewalld规则添加后立即失效，主因是未加--permanent参数、未指定正确zone、协议/端口格式错误或富规则语法不合法。需先永久添加再重载，并确认活跃zone及格式规范。

firewalld 添加规则后立即失效，通常不是服务没运行或配置没重载，而是命令写法本身存在逻辑错误——规则没加到预期的 zone，或者没指定永久生效，又或者协议/端口格式不对。

没加 --permanent 参数，重启或重载后规则丢失

firewalld 区分“运行时（runtime）”和“永久（permanent）”两套配置。只用 firewall-cmd --add-port=8080/tcp 这类命令，规则只存在于当前内存中，一旦执行 firewall-cmd --reload 或系统重启，就会清空。

• 正确做法：先加永久规则，再重载生效
  firewall-cmd --permanent --add-port=8080/tcp
firewall-cmd --reload
• 误操作示例：firewall-cmd --add-port=8080/tcp && firewall-cmd --reload —— reload 会丢掉刚才加的 runtime 规则，且 permanent 里根本没存

没指定 --zone，规则加到了默认 zone 而非实际使用的 zone

很多用户修改了默认 zone（比如设为 public），但没注意当前网卡实际绑定的是 trusted 或自定义 zone；或者压根没查清楚自己在用哪个 zone。

linux-sysadmin

Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...

下载

• 先确认当前活跃 zone：firewall-cmd --get-active-zones
• 查看某 zone 的现有规则：firewall-cmd --zone=public --list-all
• 加规则时显式指定 zone：firewall-cmd --permanent --zone=public --add-port=8080/tcp
• 常见错误：省略 --zone，结果规则进了 public（默认），但你的服务跑在 docker 或 internal zone 下，自然不生效

协议写成 tcp 却开放了 UDP 流量，或端口范围格式错误

firewalld 对协议和端口格式敏感。写错协议类型、混用短横与冒号、漏写协议，都会导致规则看似添加成功，实则匹配不到流量。

• 开放 UDP 端口必须写 udp：--add-port=53/udp，不能写 53/tcp 或只写 53
• 端口范围用短横 -，不是冒号：--add-port=10000-10010/udp ✅，10000:10010/udp ❌（后者会被忽略）
• 服务名必须真实存在：--add-service=http 可以，但 --add-service=myapp 若未定义 service 文件，则无效

添加富规则（rich rule）时缺少关键字段或语法错位

富规则功能强但容错低。少一个引号、漏一个 accept、把 source 和 port 顺序写反，都可能导致规则解析失败，--reload 后直接被跳过。

• 正确示例（允许某 IP 访问 22 端口）：
  firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port port="22" protocol="tcp" accept'
• 典型错误：
  • 漏掉 family="ipv4"（部分版本会静默失败）
  • 把 port port="22" 写成 port="22"（语法不合法）
  • 单引号位置错，导致 shell 解析出错，命令看似执行成功，实际没加进配置