firewalld无“Query接口”，应使用firewall-cmd的--query-interface等查询命令校验网卡是否归属指定隔离zone（如drop），并需结合--get-zone-of-interface、--info-zone和--get-active-zones验证绑定状态、策略生效与zone激活情况。
Firewalld 本身没有名为 “Query 接口” 的独立 API 或命令行子命令。你实际想用的是 firewall-cmd 提供的查询类操作（如 --query-interface、--query-zone-of-interface、--list-interfaces 等），来判断某块网卡是否已被正确分配到指定 zone（尤其是隔离性较强的 zone，如 drop 或 block），从而实现“网卡隔离状态核准”。
确认网卡是否属于目标隔离 Zone
最直接的方式是检查网卡是否被显式绑定到高安全等级的 zone（如 drop）。注意：firewalld 默认行为是将未显式绑定的接口归入 public zone，因此“未绑定” ≠ “已隔离”。
- 使用
firewall-cmd --query-interface=INTERFACE --zone=ZONE返回 0 表示该接口确属该 zone；返回非 0 表示不属或 zone 不存在 - 例如：
firewall-cmd --query-interface=eth1 --zone=drop，成功则说明 eth1 处于 drop 隔离策略下 - 脚本中可直接用于条件判断：
if firewall-cmd --query-interface=eth1 --zone=drop; then echo "✅ eth1 已隔离（drop zone）" else echo "❌ eth1 未处于 drop zone" fi
检查接口当前所属 Zone（避免假设）
仅靠 --query-interface 不够健壮——如果接口被误配到 trusted 或 internal，查询 drop 会失败，但你可能不知道它实际在哪。建议先查归属再比对：
- 用
firewall-cmd --get-zone-of-interface=INTERFACE获取实时 zone 名称 - 结合白名单判断是否符合隔离要求：
zone=$(firewall-cmd --get-zone-of-interface=eth1 2>/dev/null) case "$zone" in drop|block) echo "✅ 隔离有效";; *) echo "⚠️ 实际 zone: $zone（非隔离 zone）";; esac
- 注意：
--get-zone-of-interface在接口未绑定时返回空，需额外处理（如 fallback 到默认 zone）
验证 Zone 的隔离策略是否启用（防止配置空转）
即使网卡在 drop zone，也要确认该 zone 的预设规则生效（比如 drop zone 的 target 必须是 DROP，且未被覆盖）：
- 检查 zone 的 target：
firewall-cmd --info-zone=drop | grep "target:"，应输出target: DROP - 检查是否启用了该 zone：
firewall-cmd --get-active-zones | grep -q "^drop$" && echo "active" - 若需脚本化验证，可组合为：
if firewall-cmd --info-zone=drop 2>/dev/null | grep -q "target: DROP" \ && firewall-cmd --get-active-zones | grep -q "^drop$"; then echo "✅ drop zone 策略就绪且激活" fi
批量校验与容错建议
生产脚本中常需校验多张网卡，推荐结构化处理：
- 定义待隔离接口列表和期望 zone：
isolated_ifs=("eth1" "ens3f0"); expect_zone="drop" - 逐个检查并汇总结果，失败时记录原因（如未绑定、zone 错误、zone 未激活）
- 添加超时和重试（
firewall-cmd可能因 dbus 延迟短暂失败） - 关键操作前加
firewall-cmd --state >/dev/null || { echo "firewalld 未运行"; exit 1; }
不复杂但容易忽略：firewalld 的 zone 绑定是运行时+持久化的双层机制。脚本中用 --query-interface 检查的是运行时状态；若要确保重启后仍生效，还需确认 --permanent 配置一致（如 firewall-cmd --permanent --query-interface=eth1 --zone=drop）。两者都通过才算真正落地。
