Fedora 上的 firewalld：区域、运行时与永久配置

Fedora 的防火墙是 firewalld，不是”往 iptables 里加规则”。它按区域（zone）组织规则，并且把配置分成运行时和永久两层——这两层的关系是本页的重点。

先确认装了没

rpm -q firewalld
sudo firewall-cmd --state

firewalld-2.5.1-1.fc45.noarch
running

警告

Cloud 与最小化 Server 镜像默认不装 firewalld。 在 F45 Cloud 上实测 firewall-cmd --state 报 command not found、systemctl is-enabled firewalld 报 not-found。要用先装：

sudo dnf install firewalld && sudo systemctl enable --now firewalld

本页输出取自 F45（firewalld 2.5.1），安装完成后实测。

默认区域取决于安装方式

sudo firewall-cmd --get-default-zone
sudo firewall-cmd --get-zones

public

FedoraServer FedoraWorkstation block dmz drop external home internal nm-shared public trusted work

两台机器实测出的默认区域不一样，这不是 bug：

安装方式	默认区域	预置放行
F43 Server（kickstart firewall --enabled）	FedoraServer	cockpit dhcpv6-client ssh
F45 Cloud	public	dhcpv6-client mdns ssh

原因是安装器会按变体写不同的区域文件。所以看到教程里说”默认是 FedoraServer”或”默认是 public”，都对，也都不全——要看你装的是哪个变体。

两个区域本身都在列表里（FedoraServer、FedoraWorkstation 是 Fedora 特有，其余是 firewalld 通用区域）。

看当前生效的规则：

sudo firewall-cmd --list-all

public (default, active)
  target: default
  interfaces: ens19 eth0
  services: dhcpv6-client mdns ssh
  ports:
  forward: yes
  masquerade: no

interfaces 列出的是套用这个区域的网卡。默认区域生效于没有显式归属的接口。

放行一个服务

firewalld 自带 264 个服务定义（F45 实测；F43 上是 259 个），先查再写：

sudo firewall-cmd --get-services | wc -w
sudo firewall-cmd --info-service=http | head -6

放行：

sudo firewall-cmd --add-service=http          # 只加运行时
sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --reload

运行时与永久：最容易错的一层

操作	运行时生效	重启后保留
--add-service=…	是	否
--permanent --add-service=…	否	是
--permanent … + --reload	是	是
--runtime-to-permanent	是	是

实测一遍就清楚了：

sudo firewall-cmd --permanent --add-port=8080/tcp
echo "runtime=[$(sudo firewall-cmd --list-ports)] perm=[$(sudo firewall-cmd --permanent --list-ports)]"

success
runtime=[] perm=[8080/tcp]

加了永久规则但没 reload，运行时还是空的——这时候连不上，而 --permanent --list-ports 又显示已经加了，非常容易误判。

sudo firewall-cmd --reload
echo "runtime=[$(sudo firewall-cmd --list-ports)] perm=[$(sudo firewall-cmd --permanent --list-ports)]"

success
runtime=[8080/tcp] perm=[8080/tcp]

提示

记住一句话：--permanent 只写盘，--reload 才让它生效。反过来，--runtime-to-permanent 是把试好的运行时状态整体固化——适合”先试着开，确认能通再持久化”的流程。

配置在哪

ls /etc/firewalld/zones/

FedoraServer.xml  FedoraWorkstation.xml  public.xml  trusted.xml  …

每个区域一个 XML。--permanent 改的就是这些文件，--reload 让 firewalld 重新读。

sudo cat /etc/firewalld/zones/FedoraServer.xml | head -10

<?xml version="1.0" encoding="utf-8"?>
<zone>
  <short>Public</short>
  <service name="ssh"/>
  <service name="dhcpv6-client"/>
  <service name="cockpit"/>
</zone>

注意

手改这些 XML 也可以，但改完必须 --reload，而且 firewalld 会做一致性检查。能用 firewall-cmd 就别手改。

几个常见动作

# 把网卡划到某个区域
sudo firewall-cmd --permanent --zone=internal --add-interface=ens19
sudo firewall-cmd --reload

# 只允许某个网段访问
sudo firewall-cmd --permanent --zone=internal --add-source=192.168.2.0/24
sudo firewall-cmd --reload

# 临时放开（重启即失效）
sudo firewall-cmd --add-service=https
sudo firewall-cmd --remove-service=https

# 看某个端口被谁允许
sudo firewall-cmd --list-ports

排障顺序

sudo firewall-cmd --state                  # 1) 服务在跑吗
sudo firewall-cmd --list-all               # 2) 默认区域放了什么
sudo firewall-cmd --get-active-zones       # 3) 网卡属于哪个区域
sudo firewall-cmd --permanent --list-all   # 4) 永久配置（reload 后才生效）
ss -tlnp                                   # 5) 服务真的在听吗

第 5 步常被漏掉：端口没放行和服务没监听，报错是一样的（连不上）。先确认 ss -tlnp 里有那个端口，再谈防火墙。

警告

sudo firewall-cmd --version 在不带 sudo 时会报 Authorization failed. Make sure polkit agent is running or run the application as superuser.——这不是缺包，是权限。加上 sudo 即可。

相关页

• Fedora 网络配置 — 地址、路由与 DNS
• SELinux — 端口类型（服务监听非标准端口时的另一道关）
• 把 Fedora 用成服务器 — 服务器基线
• 报错速查 — command not found 一类问题
• 命令速查 — 防火墙相关命令
• 官方：firewalld