当你需要超越firewalld预定义区域和服务的限制，实现更精细的网络访问控制时，direct规则是你的终极武器。它允许你直接向底层的iptables/ nftables插入规则，从而精准管理特定端口、IP、协议甚至连接状态，解决那些标准配置无法处理的复杂安全场景。
理解firewalld direct规则的核心价值
Firewalld的常规管理通过“区域”和“服务”抽象层，简化了配置，但也在灵活性上做出了妥协。Direct规则的价值在于穿透这层抽象，直接操作系统的包过滤框架。其核心应用场景包括：限制特定源IP访问某个服务、实现基于目的IP的转发、设置复杂的连接速率限制、或者创建标准区域中不存在的特殊链。它并非用于替代常规配置，而是作为其强大补充，用于处理需要外科手术式精度的安全策略。
direct规则的基本语法与结构
使用"firewall-cmd --direct"命令是操作direct规则的唯一途径。其规则结构遵循iptables/nftables的逻辑，主要涉及向特定表（table）的特定链（chain）添加规则。基本命令范式为："firewall-cmd --direct --add-rule { ipv4 | ipv6 | eb }
<chain> <priority> <args>"。其中，{ipv4|ipv6|eb}指定地址族，"
"通常是filter、nat或mangle，"<chain>"可以是INPUT、OUTPUT、FORWARD等标准链或自定义链，"<priority>"决定规则在链中的顺序（数值越小优先级越高），"<args>"则是具体的匹配条件和动作。
实战：使用direct规则实现精细化访问控制
假设我们需要仅允许内部管理网段192.168.1.0/24访问本机的TCP 22端口（SSH），而其他所有IP均被拒绝。使用预定义区域很难优雅地实现此“白名单”策略，direct规则则游刃有余。
# 添加一条规则，允许指定网段访问22端口 firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT # 添加一条规则，拒绝其他所有IP访问22端口（必须放在允许规则之后，因此优先级设为1） firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -p tcp --dport 22 -j DROP
这里的关键是"<priority>"参数。我们为允许规则设置优先级0，为拒绝规则设置优先级1，确保允许规则先被匹配。规则添加后立即生效，但默认是运行时配置，重启后会丢失。
永久化direct规则与规则管理
要使direct规则在防火墙或系统重启后依然存在，必须在命令中加入"--permanent"选项。但需注意，"--permanent"选项不能与"--reload"同时使用，添加永久规则后需要显式重载防火墙。
# 添加永久规则 firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 0 -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT # 重载防火墙使永久规则生效 firewall-cmd --reload
管理direct规则的其他常用命令包括："--list-all-rules"列出所有规则，"--remove-rule"删除指定规则，"--query-rule"查询规则是否存在。删除规则时，命令参数必须与添加时完全一致。
高级应用：连接状态跟踪与速率限制
Direct规则能充分利用iptables/nftables的连接状态模块，实现更智能的过滤。例如，只允许新建和已建立的相关连接，提高安全性和效率。
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT firewall-cmd --direct --add-rule ipv4 filter OUTPUT 0 -m state --state ESTABLISHED,RELATED -j ACCEPT
此外，结合"limit"或"hashlimit"模块，可以轻松实现速率限制，防御暴力破解。例如，限制每分钟对22端口的新连接尝试不超过3次。
firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -p tcp --dport 22 -m state --state NEW -m limit --limit 3/min --limit-burst 3 -j ACCEPT firewall-cmd --direct --add-rule ipv4 filter INPUT 1 -p tcp --dport 22 -j DROP
使用direct规则进行网络地址转换（NAT）
Direct规则同样适用于nat表，实现端口转发或源地址转换。例如，将到达本机8080端口的流量转发到内部服务器192.168.100.10的80端口。
# 启用IP转发（内核参数） echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf sysctl -p # 添加PREROUTING链的DNAT规则 firewall-cmd --direct --add-rule ipv4 nat PREROUTING 0 -p tcp --dport 8080 -j DNAT --to-destination 192.168.100.10:80 # 添加POSTROUTING链的MASQUERADE规则，确保回包正确 firewall-cmd --direct --add-rule ipv4 nat POSTROUTING 0 -d 192.168.100.10 -p tcp --dport 80 -j MASQUERADE
这类规则改变了数据包的路由路径，配置时需要格外谨慎，并确保系统的IP转发功能已开启。
direct规则的潜在风险与最佳实践
能力越大，责任越大。Direct规则的主要风险在于：
(1) 规则顺序错误导致意外阻断或放行；
(2) 与firewalld自身管理的规则冲突，造成行为不可预测；
(3) 过度使用导致配置复杂化，难以维护。
最佳实践建议：第一，始终先在测试环境验证规则。第二，为每条direct规则添加清晰的注释（可通过在链中插入"-m comment --comment "描述""实现）。第三，优先使用firewalld常规功能，仅在必要时动用direct规则。第四，使用版本控制系统（如Git）或配置管理工具（如Ansible）来备份和管理你的direct规则集，确保变更可追溯。第五，定期使用"firewall-cmd --direct --get-all-rules"审核所有规则，清理不再需要的条目。
诊断与调试direct规则
当网络行为不符合预期时，系统的排查顺序至关重要。首先，使用"firewall-cmd --direct --get-all-rules"确认规则是否按预期添加。其次，因为direct规则最终转化为iptables/nftables规则，所以必须直接查询底层框架。对于iptables后端，使用"iptables -L -n -v --line-numbers"和"iptables -t nat -L -n -v --line-numbers"查看规则详情和匹配计数。对于nftables后端，则使用"nft list ruleset"。查看系统日志"journalctl -xe"或"/var/log/messages"也能发现防火墙丢弃数据包的相关记录。理解数据包经过链的顺序（如nat表的PREROUTING -> filter表的INPUT）是精准定位问题的关键。
总而言之，firewalld的direct规则是一把锋利的手术刀。它赋予了管理员在动态防火墙管理框架下实现静态、精确控制的能力。通过穿透抽象层直接操作包过滤规则，你可以解决从简单的IP白名单到复杂的状态化速率限制和NAT在内的各种高级需求。然而，谨慎规划规则顺序、彻底测试并妥善文档化，是安全高效使用这把利刃不可或缺的前提。掌握它，你的CentOS系统安全边界将得到前所未有的细化与巩固。
