firewall-cmd --reload 能平滑生效，是因为它清空运行时规则后毫秒级重载永久配置并同步至内核netfilter，不中断现有连接；所有--permanent命令、默认区域变更及自定义对象操作均需配合该命令才真正落地。
修改 firewalld 配置后，直接执行 firewall-cmd --reload 即可让新安全策略平滑生效，无需重启服务、不中断现有连接。
为什么 reload 能做到“平滑”
firewalld 的 --reload 操作本质是：清空当前运行时规则，再从永久（permanent）配置中重新加载全部规则，并与内核 netfilter 同步。整个过程在毫秒级完成，SSH 会话、HTTP 长连接、数据库连接等均保持稳定。实测在常规服务器上平均耗时低于 300 毫秒。
哪些操作必须配合 reload 才能真正落地
- 所有带 --permanent 参数的命令，例如：
firewall-cmd --permanent --add-service=https
firewall-cmd --permanent --add-port=8080/tcp
firewall-cmd --permanent --remove-rich-rule='rule family="ipv4" source address="192.168.1.100" accept' - 新建或删除自定义区域、服务、ICMP 类型等持久化对象
- 修改默认区域（firewall-cmd --set-default-zone=internal）后需 reload 才影响未显式指定 zone 的接口
reload 前建议确认的几件事
- 先用 firewall-cmd --list-all 或 firewall-cmd --zone=public --list-all 查看当前运行时规则，避免误删关键放行项
- 检查永久配置是否已正确写入：firewall-cmd --permanent --list-all
- 若刚添加了富规则或自定义服务，建议 reload 后立即验证：firewall-cmd --list-rich-rules 或 firewall-cmd --list-services
- 生产环境可搭配 --check 参数预检（部分版本支持）：firewall-cmd --reload --check，失败时不实际应用
别和 complete-reload 混用
firewall-cmd --complete-reload 会彻底终止 firewalld 进程并重启服务，可能导致短暂连接中断（如 TCP 重传、会话超时），仅在极少数异常场景（如规则链损坏、DBus 通信异常）下使用。日常配置更新一律用普通 --reload。
