firewalld不支持按域名控制出站流量，因其工作在L3/L4层，仅能基于IP、端口、协议匹配规则；域名需DNS解析为IP后才可见，而firewalld无DNS上下文，故无法动态识别或匹配域名。
firewalld 本身不支持按域名控制出站流量，因为它工作在网络层（L3）和传输层（L4），无法解析或匹配应用层的域名（DNS 名称）。所有出站规则都基于 IP 地址、端口、协议或源地址，而非域名。
为什么不能直接放行域名
域名在连接建立前需经 DNS 解析为 IP 地址，而 firewalld 在数据包到达时已无 DNS 上下文；它看到的只是目标 IP 和端口。即使你配置了 outbound 规则，也仅能作用于已知 IP 或网段，无法动态跟踪域名解析结果。
可行的替代方案
若业务确实需要“只允许访问某域名”，需组合其他机制实现效果：
-
用 DNS + IP 白名单预判：提前解析目标域名（如
dig example.com +short），获取其当前 IPv4/IPv6 地址（注意 CDN 或多线路可能返回多个 IP），再用 firewalld 添加对应 IP 段的出站允许规则。适用于 IP 相对固定的内部服务或私有域名。 -
结合 nftables 或 iptables 做 owner 匹配：在 OUTPUT 链中用
-m owner --uid-owner限定特定用户/进程，并配合应用层代理（如 squid、nginx 反向代理）统一出口，再由代理做域名级访问控制。firewalld 不管理此层级，但可与底层 nftables 共存。 -
用应用自身配置限制：例如 curl/wget 支持
--resolve或 hosts 绑定；Java 应用可通过java.net.InetAddress或代理设置控制；Node.js 可拦截dns.lookup。这是最精准、最推荐的做法——把策略下沉到应用层。 - 部署透明代理或 DNS 过滤网关：如使用 dnsmasq + ipset + nftables 动态更新 IP 列表，或用 CoreDNS + 插件实现基于域名的响应控制。firewalld 可配合开放代理端口（如 3128），但不参与域名判断逻辑。
firewalld 能做的出站相关操作
虽然不能控域名，但可辅助出站管控：
- 确认默认区域未主动阻断出站：firewalld 默认允许所有出站（OUTPUT ACCEPT），无需额外配置；只需确保没误加
--add-rich-rule限制了 OUTPUT 链。 - 若需限制某些出站目标，只能基于 IP：
firewall-cmd --permanent --direct --add-rule ipv4 filter OUTPUT 0 -d 203.0.113.5 -p tcp --dport 443 -j ACCEPT - 查看当前生效的直连规则：
firewall-cmd --direct --get-all-rules
本质上，域名级出站控制不属于防火墙职责，应交由 DNS 策略、应用配置或专用代理完成。firewalld 的角色是守住网络边界，不是做内容识别。
