firewalld 的 --direct --passthrough 是官方支持的直通模式，允许绕过 zone/service 抽象层直接插入原生 iptables 规则，用于精细控制、nat 或兼容旧脚本；它不被 --permanent 支持，需手动持久化，且 firewalld 重启不自动清除，但也不自动保存。
Firewalld 的 --direct --passthrough 接口是官方支持的“直通模式”，允许你在不关闭 firewalld 的前提下，直接插入原生 iptables（或 ip6tables/ebtables）规则。它绕过 firewalld 的 zone/service 抽象层，直接操作底层 netfilter 链，适合需要精细控制、NAT、自定义链或兼容 legacy 脚本的场景。
理解 Passthrough 的定位和限制
该功能不是替代 firewalld，而是补充：它下发的规则会被 firewalld 管理框架“看到”但不干预，firewalld 重启或 reload 不会清空这些规则（除非显式移除），但也不会自动保存——需手动持久化。规则生效于内核 netfilter，与 firewalld 规则共存，顺序上通常位于 firewalld 默认链之后（取决于插入位置）。
- 只支持
ipv4、ipv6、eb三种协议栈 - 命令格式固定：
firewall-cmd --direct --passthrough {ipv4|ipv6|eb} [iptables-style-args] - 不能使用 firewalld 的
--permanent参数；永久化需另存规则并写入启动脚本或 systemd unit - 不校验语法，错误命令会直接报错（如链不存在、参数拼错），需自行验证
常用操作示例
以下命令均以 ipv4 为例，执行前建议先备份当前 iptables 状态：
- 添加 DNAT 规则（将发往 10.10.1.3:80 的流量重定向到 172.16.1.3:8080）：
firewall-cmd --direct --passthrough ipv4 -t nat -A PREROUTING -d 10.10.1.3 -p tcp --dport 80 -j DNAT --to-destination 172.16.1.3:8080 - 在 filter 表中封禁某个恶意 IP：
firewall-cmd --direct --passthrough ipv4 -I INPUT -s 192.168.200.100 -j DROP（-I插入最前，优先级高于 firewalld 默认策略） - 创建并引用自定义链（如防扫描链）：
firewall-cmd --direct --passthrough ipv4 -N anti-scanfirewall-cmd --direct --passthrough ipv4 -A INPUT -p tcp -m state --state NEW -j anti-scan
如何让 Passthrough 规则开机生效
firewalld 不自动保存 passthrough 规则，必须手动固化：
- 导出当前所有直通规则（含 nat/filter/mangle）：
iptables-save > /etc/sysconfig/iptables-custom - 新建 systemd service（如
/etc/systemd/system/firewalld-passthrough.service），在 firewalld 启动后加载：[Unit]<br>After=firewalld.service<br><br>[Service]<br>Type=oneshot<br>ExecStart=/sbin/iptables-restore RemainAfterExit=yes<br><br>[Install]<br>WantedBy=multi-user.target
- 启用服务：
systemctl daemon-reload && systemctl enable firewalld-passthrough.service
调试与排错要点
规则未生效？优先检查这几项：
- 确认 firewalld 正在运行：
firewall-cmd --state应返回running - 查看已插入的 passthrough 规则：
iptables -t nat -S | grep "your-target"或firewall-cmd --direct --get-all-chains - 注意链名大小写和表名是否匹配（如
-t nat对应PREROUTING，非PREROUTING） - 若使用
-I插入，用iptables -L -n --line-numbers确认位置；firewalld 的默认 ACCEPT 可能覆盖你的 DROP - 日志排查：临时加
-j LOG --log-prefix "PASSTHROUGH:"查看是否命中
