CentOS 7 firewalld默认拒绝所有入站连接，需显式放行端口或IP；开放3306端口的正确命令是firewall-cmd --zone=public --add-port=3306/tcp --permanent后执行firewall-cmd --reload，缺一不可。

CentOS 7 默认用 firewalld，入站规则必须显式放行，不配置就全拒——这不是 bug，是设计。

firewalld 默认拒绝所有入站连接

firewalld 的 public 区域（默认区域）策略是：只允许已知服务（如 ssh）和你手动添加的端口，其余全部丢弃。它不像旧版 iptables 那样“默认放行”，所以新装系统连 ping 都不通、curl 网页返回 connection refused，都是正常现象。

常见误判现象：

• systemctl status firewalld 显示 active，但服务仍无法从外网访问
• firewall-cmd --list-ports 返回空，不代表没规则——可能用了 --add-service 或 --add-source
• 临时加了端口（漏掉 --permanent），重启后失效，查不到原因

开放单个 TCP/UDP 端口的正确写法

必须同时满足三个条件：指定区域、声明协议、持久化保存。少一个就白配。

例如开放 3306（MySQL）：

firewall-cmd --zone=public --add-port=3306/tcp --permanent
firewall-cmd --reload

关键点：

Linux installer

先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载

• --zone=public 不能省——即使它是默认 zone，firewalld 不会自动 fallback
• /tcp 或 /udp 必须写全，firewall-cmd --add-port=3306 会报错
• 没加 --permanent 就只是运行时规则，systemctl restart firewalld 后消失
• --reload 是必须步骤，不执行则规则不生效（哪怕加了 --permanent）

按 IP 段或单 IP 放通入站（比开整个端口更安全）

直接开 80 端口不如只让运维网段能连——尤其对管理后台、数据库端口这类敏感入口。

例如只允许 192.168.10.0/24 访问 22 端口：

firewall-cmd --permanent --zone=public --add-source=192.168.10.0/24
firewall-cmd --permanent --zone=public --add-port=22/tcp
firewall-cmd --reload

注意顺序和逻辑：

• --add-source 是给该 IP 段“分配权限进入 public zone”，不是直接放行某端口
• 后续仍需用 --add-port 或 --add-service 显式放行端口，source 本身不带端口策略
• 多个 --add-source 可共存；用 --list-sources 查看当前生效的源地址
• 删 source 要用 --remove-source=xxx，不是 --remove-port

查规则、验效果、排故障的实操命令

别只靠 --list-all 看一眼就完事，很多问题出在 zone 绑定、runtime vs permanent 不一致上。

快速验证三步：

• 确认当前生效 zone：firewall-cmd --get-active-zones（注意输出里 interface 对应的 zone）
• 查该 zone 下所有端口：firewall-cmd --zone=public --list-ports
• 查该 zone 是否真绑定了你的 IP：firewall-cmd --zone=public --list-sources

容易被忽略的坑：

• firewall-cmd --state 返回 running ≠ 规则已加载——可能 --reload 失败但没报错
• 修改 public zone 规则，但网卡实际绑定的是 work zone，规则完全不生效
• --query-port=80/tcp 返回 no，不一定是没加，可能是加在了别的 zone 里