Linux防火墙通过firewalld区域机制、rich rule精细化控制和网络协同实现跨网段安全通信；需绑定接口/源地址到区域，禁用IP转发，隔离高敏服务，并落实日志、备份与真实验证。
Linux 防火墙本身不划分网段，但能通过 firewalld 区域机制 + 精确规则 + 网络协同 实现跨网段通信的精细化控制。关键不是“放开端口”，而是明确“谁、从哪、访问什么、为什么”——每条允许规则都应有上下文和边界约束。
按信任等级绑定区域与接口
区域是策略容器，不是装饰。必须将物理或虚拟接口（如 eth0、br-dmz、veth-db）或源地址段直接绑定到对应区域，让流量自动归入策略上下文：
- 面向互联网的 eth0 → public 区域：默认仅放行 80/443，显式拒绝 22、3306、5432 等管理与数据库端口；
- 连接办公内网的 eth1 → internal 区域：允许 SSH（限白名单 IP）、HTTP、数据库客户端端口（如 3306），但禁止来自 public 区域的主动连接；
- 运维跳板机网段 10.10.5.0/24 → 单独创建 jumpbox 自定义区域，并用
firewall-cmd --permanent --zone=jumpbox --add-source=10.10.5.0/24绑定，再开放其对所有管理端口的访问权限； - DMZ 区 Web 服务器 veth 接口 → dmz 区域：只允许外部访问 80/443/8080，且禁止该区域接口发起任何回连内网的连接（配合
net.ipv4.ip_forward=0）。
跨段访问必须用 rich rule 精确定义
避免用 --add-port 或 --add-service 无差别开放。真正需要跨段通信时，必须锁定四要素：来源、目标、协议、端口，并区分方向：
- 应用段 → 数据库段：允许 192.168.10.0/24 访问 172.16.20.0/24 的 TCP 3306：
firewall-cmd --permanent --zone=db-zone --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" port port="3306" protocol="tcp" accept'； - 监控 agent 回传数据：若 agent 在 10.10.10.0/24，服务端在 172.16.20.0/24，则需在 agent 所在主机的 output 链（或对应 zone 的 forward 规则）中放行出向流量，在服务端主机的 input 链中放行入向流量，否则 conntrack 无法匹配回程包；
- 限制 HTTP 流量来源：不用开放 80 端口，而是启用 http service 后，用 rich rule 指定仅某几个业务子网可调用：
firewall-cmd --permanent --zone=web --add-rich-rule='rule family="ipv4" source address="192.168.20.0/24" service name="http" accept'。
防止路由层绕过，强化分段实效
防火墙规则再细，也挡不住 IP 转发或命名空间逃逸。必须同步收紧底层网络行为：
- 禁用非预期转发：执行
sysctl -w net.ipv4.ip_forward=0，并写入/etc/sysctl.conf永久生效，防止多网卡主机变成跨段跳板； - 高敏服务隔离：对密钥管理器、审计日志中心等，使用
ip netns创建独立 network namespace，通过 veth pair 连接专用 bridge，再在该 namespace 内运行 firewalld，规则完全与宿主机解耦； - 策略路由协同：当存在双出口（如主线路+备份专线）时，用
ip rule+iptables MARK标记特定流量（如 rsync 备份），强制走指定路由表，并在对应区域中单独配置限速与日志规则，实现流量级策略闭环。
策略可持续性：命名、留痕与验证
生产环境的规则不是一次写完就结束，必须支持追溯、审计与快速回滚：
- 所有 rich rule 添加
--log-prefix，例如：firewall-cmd --permanent --zone=internal --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" port port="3306" protocol="tcp" log prefix="db-access-" level="info" accept'； - 变更前导出当前配置：
firewall-cmd --list-all-zones > /backup/firewall-$(date +%F).txt； - 每次 reload 后，用
firewall-cmd --direct --get-all-rules和conntrack -L验证规则加载与连接跟踪状态； - 从各网段发起真实业务请求（curl、mysql -h、nc），确认通路符合预期，且拒绝路径确实丢包（用 tcpdump 抓包验证 DROP 行为）。
