firewalld不支持端口段转发，仅接受单端口或服务名；强行输入范围会报错，因其cli和xml schema明确限制port为整数或服务名，属设计取舍而非bug。
firewalld 不支持直接配置端口段转发（比如 8000-8010 → 192.168.1.100:8000-8010），它只接受单端口或服务名作为 --add-forward-port 的 port= 参数。强行传入范围会报错：ERROR: invalid port value '8000-8010'。
firewalld 无法直接转发端口范围的原因
firewalld 是对 iptables/nftables 的高层封装，其 --add-forward-port 底层仍调用的是 iptables 的 DNAT 规则，但 firewalld 的 CLI 和 XML schema 明确限制 port 字段为整数或服务名，不解析连字符语法。这不是 bug，而是设计取舍——它把“端口范围”这类底层操作留给更灵活的工具处理。
- firewalld 的
port参数只接受形如80、443或http的值 - 即使你手动编辑
/etc/firewalld/zones/public.xml加入port="8000-8010"，firewall-cmd --reload会拒绝加载并报Invalid port range - firewalld 的 zone 配置模型面向“服务+单端口”，不是面向 raw packet matching
替代方案：用 firewall-cmd + direct rules 实现端口段转发
firewalld 提供 --direct 接口，允许你绕过高层抽象，直接插入 iptables 规则。这是唯一在 firewalld 框架下安全实现端口段转发的方式，且规则会被持久化（只要保存了）。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 先启用伪装：
firewall-cmd --permanent --add-masquerade - 添加 DNAT 规则（假设外网接口是
ens33，内网目标是192.168.1.100）：firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 0 -i ens33 -p tcp --dport 8000:8010 -j DNAT --to-destination 192.168.1.100 - 放行 FORWARD 链流量：
firewall-cmd --permanent --direct --add-rule ipv4 filter FORWARD 0 -i ens33 -o ens34 -p tcp -d 192.168.1.100 --dport 8000:8010 -j ACCEPT - 重载生效：
firewall-cmd --reload
注意：--dport 8000:8010 是 iptables 原生语法，firewalld 的 --direct 会原样透传给内核，因此完全支持。
为什么不用 iptables 命令直接写？
你可以用 iptables -t nat -A PREROUTING ... 手动加规则，但这样会和 firewalld 冲突：firewalld 启动时可能清空 nat 表，或 reload 时覆盖你的规则。更糟的是，iptables-save 导出的规则不会被 firewalld 自动加载，重启后失效。
- firewalld 管理的系统应统一用
firewall-cmd --direct添加底层规则 - 直接调用
iptables命令仅适合 firewalld 未启用、或你明确放弃 firewalld 管理权的场景 - 如果你改用 nftables（RHEL 9+/Fedora 默认），对应 direct rule 是
firewall-cmd --nftables，但语法更复杂，不推荐临时切换
端口段转发本质是批量规则，firewalld 不暴露这个能力不是缺陷，而是提醒你：真需要这种粒度，说明你已在做网关级转发，该认真检查 FORWARD 链策略、连接跟踪状态、以及是否漏掉 ESTABLISHED,RELATED 放行——这些比“怎么写端口范围”容易被忽略得多。
