firewalld服务可能假运行或崩溃，需先用systemctl status firewalld确认active状态为active (running)且无nftables初始化失败等报错，异常时应firewall-cmd --reload && systemctl restart firewalld后立即验证。
firewalld 服务是否真的在运行
宝塔面板里点“放行端口”没反应，或者刚加的规则过几分钟就消失，第一件事不是查配置，而是确认 firewalld 进程本身还在不在。很多情况下它只是“看起来在”，实际已崩溃或被其他脚本静默停掉。
执行命令：systemctl status firewalld，重点看两处：
- Active 行是否为
active (running)，而非inactive (dead)或failed - Logs 区域末尾是否有类似
Failed to initialize nftables backend或Connection refused的报错
若状态异常，别直接 start，先强制重载配置再启：firewall-cmd --reload && systemctl restart firewalld。重启后立刻再查状态，避免“假启动”。
规则是否被手动清空或覆盖
宝塔面板的“防火墙”模块本质是调用 firewall-cmd 命令，但它不管理所有规则——特别是你用 iptables -F、ufw reset 或第三方脚本清理过规则后，宝塔界面里看到的“已放行”只是缓存状态，实际规则早已丢失。
验证真实规则存在性，必须绕过面板，直查系统：
- 列出所有永久规则：
firewall-cmd --permanent --list-ports - 列出所有运行时规则（含临时添加）：
firewall-cmd --list-ports - 检查 rich rules 是否误删了关键策略：
firewall-cmd --list-rich-rules
如果 --list-ports 有输出但 --permanent --list-ports 为空，说明规则没加进持久化配置，服务器重启后必然丢失。
宝塔自身服务是否干扰规则同步
宝塔 8.x 在后台会周期性校验端口状态，一旦发现某个端口“未监听”，它可能自动把对应放行规则删掉——这不是 bug，是它的保护逻辑。所以你明明开了 8888 端口，但 netstat -tlnp | grep 8888 没输出，宝塔就会悄悄撤回规则。
排查要点：
- 确认面板服务真正在监听：
ss -tlnp | grep ':8888'（注意冒号） - 检查
/www/server/panel/data/port.pl里的端口号是否和你放行的一致 - 查看日志里是否有自动删除记录：
tail -n 20 /www/server/panel/logs/firewall.log
常见陷阱：改完 port.pl 后只执行 bt restart，但没等几秒就去查 ss，此时 Python 进程还没完全绑定端口，宝塔误判为“未监听”，触发自动清理。
SELinux 或 nftables 后端冲突
CentOS 8+/Rocky 9 等系统默认用 nftables 替代 iptables，而宝塔 8.x 部分版本对 nftables 支持不完整。若你升级过系统内核或手动切换过后端，firewalld 可能仍在运行，但规则实际没落到网络栈上。
快速验证方法：
- 执行
firewall-cmd --state，返回running不代表生效 - 手动加一条测试规则：
firewall-cmd --add-port=12345/tcp - 另开终端，从本地
telnet your_ip 12345，不通则大概率是后端失效
临时救急：切回 iptables 后端：update-alternatives --config firewall-backend，选 iptables 项，然后 systemctl restart firewalld。
真正难缠的不是规则加不上，而是加上了却“不生效”——这时候往往不是宝塔的问题，而是 firewalld 底层和系统网络栈之间断了联系。每次怀疑失效，先跳过面板，用原始命令验证，比反复点“放行”有用得多。
