多个防火墙区域可以在任何给定时间处于活动状态吗？

Question

我一直在努力解决一些奇怪的（对我来说）防火墙错误，但现在看到了我想要的防火墙行为。但是，令我困惑的是，有效的似乎是区域drop和区域的混合。trusted

[root@douglasii ~]#  firewall-cmd --get-active-zones
drop
  interfaces: eth0 veth879317c vethaff7c39 vethb2fec6e
trusted
  sources: 192.168.0.0/16
[root@douglasii ~]# firewall-cmd --zone=drop --list-all
drop (default, active)
  interfaces: eth0 veth879317c vethaff7c39 vethb2fec6e
  sources: 
  services: ssh
  ports: 443/tcp 80/tcp
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules: 

[root@douglasii ~]# firewall-cmd --zone=trusted --list-all
trusted
  interfaces: 
  sources: 192.168.0.0/16
  services: ssh
  ports: 443/tcp 80/tcp
  masquerade: no
  forward-ports: 
  icmp-blocks: 
  rich rules: 

我的印象是您使用 一次设置一个区域set-default-zone。我发现无论我为哪一个这样做，都会获得“活跃”标签。难道不是这样吗？多个防火墙区域可以在任何给定时间处于活动状态吗？都是同时申请吗？什么是默认区域？通过阅读FirewallD 上的文档，我并不清楚。

Answer 1

根据我最近的经验，你可以

1. 默认区域
2. 绑定到接口的区域

因此，如果您有多个接口，您可以将每个接口分配到其自己的区域，或将所有接口分配到一个区域，独立地操作各个区域（从而操作接口），并且仍然拥有与分配的接口不同的默认区域。我相信默认区域会派上用场来捕获未分配给任何区域的接口。