如何在 Rocky Linux 9 中使用 firewalld 配置端口范围的规则？

Question

Answer

在Rocky Linux 9中通过firewalld配置端口范围规则，需遵循以下步骤：

启动服务：确保firewalld已运行（systemctl enable --now firewalld）
添加端口范围：使用命令 firewall-cmd --permanent --add-port=起始端口-结束端口/协议（例：5000-6000/tcp）
重载配置：执行 firewall-cmd --reload 使规则生效
验证规则：通过 firewall-cmd --list-ports 或 --list-all 检查配置

若需限定IP范围，可使用富规则（rich rules）指定源地址。注意临时规则需省略--permanent参数，否则需主动重载。建议通过--zone参数明确指定防火墙区域，避免规则冲突。

Answer

在 Rocky Linux 9 中，使用 firewall-cmd 配置端口范围规则的命令为：

firewall-cmd --permanent --add-port=起始端口-结束端口/协议
firewall-cmd --reload

例如允许 TCP 端口 5000-6000：firewall-cmd --permanent --add-port=5000-6000/tcp。

延伸知识点：firewalld 富规则（Rich Rules） 富规则允许更精细的流量控制，例如限制源IP或接口。结构为：

rule [family="ipv4/ipv6"]
  [source address="IP/掩码"]
  [port port="端口范围" protocol="协议"]
  [accept/reject/log]

示例：仅允许 192.168.1.0/24 访问 UDP 5000-5010：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="5000-5010" protocol="udp" accept'

使用 --list-rich-rules 查看规则，完成后需 --reload 生效。

Answer

在Rocky Linux 9中通过firewalld配置端口范围规则时，建议遵循以下步骤：

确认firewalld状态：

sudo systemctl status firewalld  # 确保服务已启用并运行

若未启用，执行：

sudo systemctl enable --now firewalld

添加端口范围规则：
```
sudo firewall-cmd --permanent --add-port=1000-2000/tcp  # 示例端口范围
```
关键参数说明：
- --permanent：使规则持久化
- 1000-2000：起始和结束端口
- /tcp：协议类型（可替换为udp）
重载配置生效：
```
sudo firewall-cmd --reload
```

验证规则：

sudo firewall-cmd --list-ports  # 查看已开放端口

或

sudo firewall-cmd --list-all  # 查看完整配置

注意事项：

Answer

确认firewalld运行状态：
```
sudo systemctl status firewalld
```
若未运行，启用并启动服务：
```
sudo systemctl enable --now firewalld
```
添加端口范围规则（如5000-6000/TCP）：
```
sudo firewall-cmd --permanent --add-port=5000-6000/tcp
```
协议可按需替换为udp。
重载防火墙生效配置：
```
sudo firewall-cmd --reload
```

验证规则：

sudo firewall-cmd --list-ports  # 查看端口范围
sudo firewall-cmd --list-all    # 检查全部规则

删除规则：将--add-port改为--remove-port并重复步骤2-4。