关键在于构建两层逻辑边界：第一层网络接入层（无线网段与内网间）用public/internal区域隔离，第二层数据服务层（内网与核心数据中心间）通过trusted区域+富规则精细控制访问，实现策略级双重阻断。

要实现无线办公网访问核心数据中心的双重隔离，关键不是“只开一个口子”，而是构建两层逻辑边界：第一层是网络接入层（无线网段与内网之间），第二层是数据服务层（内网与核心数据中心之间）。Firewalld 本身不提供物理隔离，但通过区域划分 + 富规则组合，能可靠达成策略级双重阻断。

第一步：明确两个隔离层级并分配区域

无线办公网（如 192.168.50.0/24）属于低信任度接入层，核心数据中心（如 10.10.1.0/24）必须严格保护。中间需设一个“缓冲内网”（如 10.10.10.0/24）作为跳转区或代理区：

• 将无线网卡（如 wlp3s0）或无线网段绑定到 public 区域（默认拒绝入站，仅允许必要管理端口）
• 将连接缓冲内网的网卡（如 ens160）绑定到 internal 区域（默认允许 SSH、DHCPv6-client 等，可受控开放）
• 将直连核心数据中心的网卡（如 ens192）或其网段显式绑定到 trusted 区域 —— 但注意：trusted 不等于放行所有流量，它只是默认策略宽松，仍需用富规则收紧

第二步：第一重隔离——阻断无线网段直通核心网段

即使无线用户拿到缓冲内网某台跳板机权限，也不能绕过规则直连核心数据中心。需在 internal 区域中显式拒绝该路径：

• firewall-cmd --permanent --zone=internal --add-rich-rule='rule family="ipv4" source address="192.168.50.0/24" destination address="10.10.1.0/24" reject'
• 这条规则确保：任何源自无线网段、目标为核心数据中心的包，在进入 internal 区域时即被拒绝（无响应）
• 同理，反向也应禁止（防跳板机主动外连）：firewall-cmd --permanent --zone=trusted --add-rich-rule='rule family="ipv4" source address="10.10.1.0/24" destination address="192.168.50.0/24" reject'

第三步：第二重隔离——限定仅授权服务可跨缓冲区访问

缓冲内网（internal）可作为唯一合规通道，但只允许特定协议和端口访问核心数据中心（trusted）：

• 例如，只允许数据库管理员通过 10.10.10.5（缓冲区内一台专用代理机）访问核心库的 3306 端口：firewall-cmd --permanent --zone=trusted --add-rich-rule='rule family="ipv4" source address="10.10.10.5" port port="3306" protocol="tcp" accept'
• 禁止其他 internal 主机访问核心网段任何端口（默认 trusted 允许全部，必须显式覆盖）：firewall-cmd --permanent --zone=trusted --add-rich-rule='rule family="ipv4" source address="10.10.10.0/24" destination address="10.10.1.0/24" reject'
• 若使用 HTTPS API 网关，可单独放行其 IP 和 443 端口，其余一律拒绝

第四步：加固与验证

双重隔离易因配置遗漏失效，务必执行以下动作：

• 运行 firewall-cmd --reload 加载所有永久规则
• 检查接口归属：firewall-cmd --get-active-zones，确认各网卡已正确绑定区域
• 从无线终端尝试 telnet 或 nc 连接核心网段任意端口，应全部超时或被拒
• 从缓冲内网非授权主机（如 10.10.10.10）尝试访问核心网段，也应失败；仅授权代理机可通
• 日志审计建议开启：firewall-cmd --permanent --zone=internal --add-rich-rule='rule family="ipv4" source address="192.168.50.0/24" log prefix="wireless-blocked" level="info"'