若生产中使用有docker，建议不要使用firewalld，改用iptables，用firewalld坑很多，暂时还未找到解决办法，在此做下记录：

说明：若加参数permanent为永久添加即添加至zone配置中，reload生效，重启firewalld也会生效，若不加 --permanent，重启后不再生效）

docker和firewalld共存时，使用命令添加开放端口规则，且加 --permanent参数

firewall-cmd --add-port=80/tcp  --permanent 添加规则后，80端口被外部正常访问，

然后使用firewall-cmd --remove-port=80/tcp  --permanent 永久移除规则，按正常情况80端口将不能被外部网络访问，

但实际确依然能被外部访问，而且此后防火墙像是被关闭了一样，所有服务端口都能被外部访问到。但查看配置中已经没有开放80端口的

规则，firewalld也是runing状态，此后重新开一台测试机，不安装docker进行测试，firewalld不再出现以上问题。

1、启动firewalld

systemctl start firewalld

systemctl enable firewalld #加入到开机启动

2、查看状态

systemctl status firewalld

或

firewall-cmd --state

3、关闭firewalld

systemctl stop firewalld

service说明：

在 /usr/lib/firewalld/services/ 目录中，还保存了另外一类配置文件，每个文件对应一项具体的网络服务，如 ssh 服务等.
与之对应的配置文件中记录了各项服务所使用的 tcp/udp 端口，在最新版本的 firewalld 中默认已经定义了 70+ 种服务供我们使用.
当默认提供的服务不够用或者需要自定义某项服务的端口时，我们需要将 service 配置文件放置在 /etc/firewalld/services/ 目录中.
service 配置的好处显而易见:
第一，通过服务名字来管理规则更加人性化，
第二，通过服务来组织端口分组的模式更加高效，如果一个服务使用了若干个网络端口，则服务的配置文件就相当于提供了到这些端口的规则管理的批量操作快捷方式。

每加载一项 service 配置就意味着开放了对应的端口访问

4、查看系统自带默认有那些service可以进行配置

firewall-cmd --get-services

5、查看当前已经开放的service和port

firewall-cmd --list-services

firewall-cmd --zone=public --list-services  # 指定区域进行查看

firewall-cmd --list-ports

firewall-cmd --zone=public --list-ports  # 指定区域进行查看

6、查看所有已开放的service和port等

firewall-cmd --list-all　　# 查看默认区域的

firewall-cmd --zone=public  --list-all  # 只查看指定pubilc区域的

firewall-cmd --list-all-zones  # 查看所有区域的

7、查询单个服务的启用状态[返回值yes/no]

firewall-cmd --query-service http

8、动态添加一条防火墙规则至默认区域（public），比如开放服务或端口(此方法可以立即生效，但重启firewalld服务或reload后将不再生效，因为没有保存在配置文件中)

firewall-cmd --add-service=ftp

firewall-cmd --add-port=2326/tcp

firewall-cmd --zone=public --add-port=4990-4999/udp   #添加4990-4999 udp端口 ，并指定区域

9、动态添加规则后若想保存至zone配置中需要添加参数 --permanent(reload才生效)

firewall-cmd --add-service=ftp --permanent

firewall-cmd --add-port=12222/tcp --permanent

firewall-cmd --zone=public --add-port=4990-4999/udp  --permanent   #添加4990-4999 udp端口 ，并指定区域

firewall-cmd --reload #配置生效

10、动态移除规则，但需要重载防火墙才可生效

firewall-cmd --remove-service=http #移除直接生效

firewall-cmd --remove-port=2327/tcp --permanent #永久移除、删除，需reload才生效

firewall-cmd --reload

11、重载防火墙规则

通常手动修改zone配置进行规则添加后，需要进行重载生效，以 root 身份输入以下命令，重新加载防火墙，并不中断用户连接，即不丢失状态信息

firewall-cmd --reload

注意:通常在防火墙出现严重问题时，这个命令才会被使用。比如，防火墙规则是正确的，但却出现状态信息问题和无法建立连接。

firewall-cmd --complete-reload

12、‘将同一台服务器上80端口的流量转发至8080

firewall-cmd --add-forward-port=port=80:proto=tcp:toport=8080

13、如果要将端口转发到另外一台服务器上

　　1）在需要的区域中激活 masquerade

firewall-cmd --zone=public --add-masquerade

　　2）添加转发规则