CentOS 7怎么修改防火墙信任区域

firewalld 默认使用 public 区域，但内网调试等场景可切至 trusted 区域以放行所有入站连接；查默认区域用 firewall-cmd --get-default-zone，查活跃区域用 firewall-cmd --get-active-zones，二者可能不同；修改默认区域执行 firewall-cmd --set-default-zone=trusted（永久立即生效），绑定接口需 firewall-cmd --permanent --change-interface=eth0 --zone=trusted 并 --reload 验证。

firewalld 默认使用 public 区域，但很多场景下（比如内网调试、开发环境、可信局域网）直接切到 trusted 最省事——它不拦任何入站连接，避免反复开端口。

怎么查当前默认区域和活跃区域

先确认你改的是哪个 zone：
firewall-cmd --get-default-zone 查默认区域（重启后生效的）
firewall-cmd --get-active-zones 查当前生效的活跃区域（绑定在哪些网卡上）
注意：二者可能不同。比如默认是 public，但 eth0 被手动分配到了 trusted，那实际生效的就是后者。

修改默认区域（永久生效）

执行：
firewall-cmd --set-default-zone=trusted
这条命令仅更改默认值，对已激活的接口毫无影响。后续新接入的网卡（或重载NetworkManager）会自动继承此默认zone。
常见错误：

• 遗漏 --permanent？无需添加——--set-default-zone 本身就是永久性操作；
• 修改后未执行reload？不必reload，更改会立即生效；
• 修改了默认zone，但服务依旧无法连接？检查 firewall-cmd --get-active-zones，活跃zone可能仍为 public，需要手动将接口划过去。

把网卡接口划到指定区域（如 trusted）

默认情况下，firewalld 依赖 NetworkManager 自动分配 zone，但经常不准。必须显式绑定：
firewall-cmd --permanent --change-interface=eth0 --zone=trusted
然后 reload：
firewall-cmd --reload
关键点：

• --change-interface 必须带 --permanent，否则重启后失效；
• 接口名（如 eth0）要和 ip link show 输出一致，CentOS 7 常见的是 ens33 或 enp0s3，别硬写 eth0；
• 执行 --reload 后，用 firewall-cmd --get-active-zones 验证是否已生效。

验证和回退

确认变更是否落地：
使用 firewall-cmd --zone=trusted --list-all 命令查看规则是否为空（注意，trusted 区域不应有拒绝项）；
再通过 firewall-cmd --list-all 命令查看当前活跃 zone 的完整配置。
要是不小心操作导致失联了怎么办呢？别慌，按以下步骤来：

• 通过本地 console 登录后，立刻执行 firewall-cmd --set-default-zone=public 命令，将默认区域切回；
• 接着把接口划回去，执行 firewall-cmd --permanent --change-interface=eth0 --zone=public 命令；
• 最后别忘了执行 firewall-cmd --reload 命令。

有一点特别容易被忽视，那就是：虽然 trusted 区域不会拦截流量，但是它并不会自动放行 iptables 或 ebtables 规则哦——也就是说，如果同时开启了其他防火墙工具，它们仍然有可能进行拦截。