firewalld实现的是逻辑访问控制而非物理隔离，需结合vlan划分与网络拓扑设计形成“物理分段+逻辑授权”双重保障；具体包括：vlan隔离、子接口绑定独立区域、富规则精确控制跨vlan访问、关闭隐式通路。
Firewalld 本身不提供物理隔离能力，它实现的是逻辑访问控制。所谓“双重物理隔离”，在实际部署中应理解为：通过VLAN 划分 + 网络拓扑设计完成第一层物理/二层隔离，再由 Firewalld 在三层网关或边界服务器上实施策略化访问控制，形成“物理分段 + 逻辑授权”的双重保障。企业无线办公网（如 VLAN 100）与核心数据中心（如 VLAN 10）必须处于不同广播域，且中间至少经过一台具备路由与防火墙功能的 Linux 网关设备（例如双网卡服务器或软路由）。
第一步：确保VLAN已真实隔离
无线办公网和核心数据中心不能共用同一交换机接入端口或同一子网。必须满足：
- 无线AP上行链路配置为 Trunk 模式，透传 VLAN 100（办公）和 VLAN 10（核心），不允许混杂（untagged）转发
- 核心交换机或网关设备上已创建对应子接口，例如：
ip link add link eth0 name eth0.100 type vlan id 100
ip addr add 192.168.100.1/24 dev eth0.100 - 两个 VLAN 的网关地址分别位于不同网段，且彼此无直连路由（默认不互通）
第二步：为不同VLAN绑定独立Firewalld区域
在网关服务器上，将每个 VLAN 子接口分配到语义明确的区域，避免混用 public：
- 将无线办公网接口（eth0.100）设为 wireless-office 自定义区域：
firewall-cmd --permanent --new-zone=wireless-office
firewall-cmd --permanent --zone=wireless-office --change-interface=eth0.100 - 将核心数据中心接口（eth0.10）设为 core-dc 区域：
firewall-cmd --permanent --new-zone=core-dc
firewall-cmd --permanent --zone=core-dc --change-interface=eth0.10 - 禁用默认区域对这两个接口的接管（防止 fallback 到 public）
第三步：用富规则精确控制跨VLAN访问
仅允许最小必要路径——不是“放通某网段”，而是“只准特定源访问特定服务端口”：
- 禁止无线办公网主动访问核心数据库（如 MySQL 3306、Redis 6379）：
firewall-cmd --permanent --zone=core-dc --add-rich-rule='rule family="ipv4" source address="192.168.100.0/24" port port="3306" protocol="tcp" reject' - 仅允许运维跳板机（192.168.100.50）通过 SSH 访问核心区管理节点：
firewall-cmd --permanent --zone=core-dc --add-rich-rule='rule family="ipv4" source address="192.168.100.50" service name="ssh" accept' - 若需单向数据同步（如备份推送），启用带状态的出向放行，并限制目标 IP 和端口：
firewall-cmd --permanent --zone=wireless-office --add-rich-rule='rule family="ipv4" destination address="192.168.10.200" port port="873" protocol="tcp" accept'
第四步：关闭IP转发以外的隐式通路
即使配置了区域和规则，仍需确认底层网络行为受控：
- 检查 sysctl 中 IP 转发是否显式开启（net.ipv4.ip_forward = 1），这是跨 VLAN 路由的前提；但务必配合 Firewalld 的 FORWARD 链策略，而非依赖默认 ACCEPT
- 验证 firewalld 默认策略：每个 zone 的 target 应为 default（非 ACCEPT），确保未匹配规则的包被拒绝
- 禁用 ICMP 重定向、源路由等可能绕过策略的功能：
sysctl -w net.ipv4.conf.all.accept_redirects=0
sysctl -w net.ipv4.conf.all.accept_source_route=0
