centos 7 彻底关闭防火墙需同时执行 systemctl stop firewalld 和 systemctl disable firewalld，并验证状态为 inactive(dead) 和 disabled；若存在 iptables，还需同步停止、禁用并清空规则。

firewalld 是 CentOS 7 的默认防火墙服务，关它不能只停一次就完事——必须同时停止运行 + 禁止开机启动，否则重启后自动复活。

stop 和 disable 必须一起执行

只运行 systemctl stop firewalld 只是临时关闭，系统一重启就回来；只运行 systemctl disable firewalld 不影响当前运行状态，防火墙照常拦流量。

• sudo systemctl stop firewalld —— 立即终止进程，现有规则失效
• sudo systemctl disable firewalld —— 删除 /etc/systemd/system/multi-user.target.wants/firewalld.service 软链接，确保下次启动不加载
• 验证是否真关干净：systemctl status firewalld 输出里得同时出现 inactive (dead) 和 disabled

别漏掉 iptables（如果存在）

CentOS 7 默认不装 iptables-services，但有些镜像或运维脚本会额外装上。一旦存在，它和 firewalld 冲突，且可能残留规则。

CentOS Linux 7.9.2009

CentOS Linux 7.9.2009是传统CentOS Linux 7的最后主要版本，也是很多企业历史服务器中仍可能遇到的系统版本。它以稳定、兼容RHEL 7生态、文档丰富和软件支持广泛著称，曾长期用于Web服务、数据库、虚拟化节点和企业内部业务系统。不过CentOS Linux 7已于2024年6月30日停止维护，现在继续使用会面临安全补丁缺失风险。该版本更适合旧业务迁移、历史环境恢复或离

下载

• 检查是否存在：systemctl list-unit-files | grep iptables
• 若输出含 iptables.service 或 ip6tables.service，按同样逻辑处理：sudo systemctl stop iptables + sudo systemctl disable iptables
• 清空规则（防止残留）：sudo iptables -F、sudo ip6tables -F，再加 -X 和 -Z 更稳妥

firewall-cmd 还能用？说明没关彻底

执行 firewall-cmd --state 返回 running，或者报错 Command 'firewall-cmd' not found 都不对——前者代表 firewalld 还在跑，后者可能是包被卸了但服务没停干净。

• firewall-cmd 是 firewalld 的客户端，只要服务活着它就能调用
• 真正关掉后，firewall-cmd --state 应该报错：Failed to connect to socket /org/fedoraproject/FirewallD1: Connection refused
• 如果命令不存在，先确认是否误删了 firewalld 包：rpm -q firewalld

关防火墙这事，表面就两条命令，实际容易卡在“以为关了，其实没关”——尤其集群环境里漏掉某台节点，或者 iptables 残留规则还在 silently drop 流量，排查起来反而更费时间。