firewalld接口绑定需区分临时与永久操作，永久设置必须执行--reload才能生效；先用--get-active-zones等命令确认现状，再按安全需求选择合适zone并用--permanent --add-interface绑定，最后重载验证。
将网络接口划入 firewalld 指定区域，关键在于明确“绑定动作”和“生效方式”——临时操作不持久，永久设置必须配合重载才能真正起效。
确认当前接口归属和可用区域
先看清现状，避免误操作：
- 查看哪些网卡已绑定到哪些 zone：firewall-cmd --get-active-zones
- 查默认 zone（新接入网卡自动归入）：firewall-cmd --get-default-zone
- 列出所有预置 zone 名称：firewall-cmd --get-zones
- 检查某 zone 当前配置，比如 public：firewall-cmd --zone=public --list-all
按需选择目标区域
不同 zone 预设策略差异显著，不能仅凭名称判断：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- public：只放行 ssh 和 dhcpv6-client，适合面向公网的接口
- internal / home：允许 samba、mdns、ssh 等，适合内网或可信局域网
- trusted：完全放行所有入站流量，仅用于绝对隔离的管理网络（如 docker0 或专用 VLAN）
- drop：静默丢弃所有入站包，不响应 ICMP，适合暴露但无需回包的节点
- dmz：默认拒绝一切，只开放显式添加的服务，适合对外提供 Web/FTP 的跳板机
执行接口绑定操作
绑定分临时与永久两种，生产环境必须用永久方式：
- 临时把网卡 ens33 划入 internal 区域：firewall-cmd --zone=internal --change-interface=ens33
- 永久设置默认 zone 为 internal：firewall-cmd --set-default-zone=internal
- 永久将 ens33 加入 trusted 区域：firewall-cmd --permanent --zone=trusted --add-interface=ens33
完成设置并生效
所有带 --permanent 的操作都只是写入配置文件，不会立即生效：
- 必须执行重载命令：firewall-cmd --reload
- 验证是否成功：再次运行 firewall-cmd --get-active-zones，确认接口出现在目标 zone 下
- 若需回退，可用 --remove-interface 删除绑定，再重载
