firewalld启停故障求助：配置加载失效及历史问题复盘

问题背景 #

我在CentOS 7环境下使用firewalld时遇到了棘手的问题：firewalld会忽略配置文件，区域设置无法在服务重启后保留，目前启停firewalld的过程中仍存在异常。当日排查到最后执行了几条命令（未附具体内容），但现阶段不知如何继续推进排查，firewalld的抽象层级给排查工作带来了阻碍，恳请提供可行的排查思路。

2018-02-05更新：根据评论建议尝试后……（内容未补充完整）

别担心，我来给你梳理几个一步步落地的排查方向，应该能帮你定位问题根源：

• 验证配置文件的合法性与权限
  firewalld的核心配置目录是/etc/firewalld/，区域规则配置存放在/etc/firewalld/zones/下。首先检查配置文件的XML格式是否规范——比如标签是否闭合、有没有语法错误，你可以用xmllint工具快速验证：

  xmllint /etc/firewalld/zones/public.xml
  

  如果存在格式错误，工具会直接给出提示。另外要确认文件权限：配置文件的属主和属组应为root:root，权限建议设置为640或644，用ls -l /etc/firewalld/zones/查看，若权限异常，可通过chown root:root <文件路径>和chmod 640 <文件路径>修正。

• 跟踪firewalld的日志信息
  日志是定位问题的关键，firewalld的运行日志默认记录在/var/log/firewalld或系统全局日志/var/log/messages中。你可以在重启firewalld后实时跟踪日志：

  journalctl -u firewalld.service -f
  

  日志里会详细记录加载配置时的错误，比如配置文件找不到、解析失败、权限不足等，这些信息能直接指向问题所在。

• 确认临时配置是否同步到永久存储
  很多时候设置丢失是因为没把运行时配置保存到永久配置里。修改规则后，必须执行以下命令同步：

  firewall-cmd --runtime-to-permanent
  

  你可以分别查看运行时和永久配置做对比：

  # 查看当前运行时配置
  firewall-cmd --list-all-zones
  # 查看永久配置
  firewall-cmd --list-all-zones --permanent
  

  如果两者不一致，说明之前的保存操作未正确执行。

• 排查是否存在防火墙工具冲突
  CentOS 7中如果同时安装了iptables-services，会和firewalld产生冲突（两者都是管理iptables规则的工具）。先检查iptables服务状态：

  systemctl is-active iptables
  

  如果处于活跃状态，先停止并禁用它：

  systemctl stop iptables && systemctl disable iptables
  

  之后重启firewalld再测试。

• 检查firewalld的服务依赖与运行状态
  执行以下命令查看firewalld的运行状态，确认是否有启动失败或加载异常的提示：

  systemctl status firewalld
  

  另外，firewalld依赖dbus服务，确保dbus正常运行：

  systemctl status dbus
  

  若dbus服务异常，firewalld也无法正常加载配置。

• 尝试重置firewalld配置（兜底方案）
  如果以上步骤都没找到问题，可以先备份现有配置，然后重置firewalld到默认状态：

  # 备份配置
  cp -r /etc/firewalld/ /etc/firewalld_backup/
  # 重置配置
  firewall-cmd --reset-config
  

  之后重新配置规则并执行保存命令，测试重启后配置是否生效，以此排除现有配置文件深层损坏的可能。

内容的提问来源于stack exchange，提问作者dafydd