多网卡需按用途分区域管控，每张网卡绑定独立firewalld zone并设forward为drop，management zone开22/8443端口，public zone禁ssh和icmp、仅开443端口。
多网卡环境下不能共用一套防火墙规则，必须按网卡用途分区域管控——每张网卡只管自己的流量，彼此不越界、不转发。
先识别并明确每张网卡的角色
运行 ip -br a 查看所有接口状态，再用 ip addr show
- ens33 接管理网络（172.16.1.0/24），仅用于 SSH 和 HTTPS 管理
- enp0s8 接业务网络（192.168.10.0/24），开放 443，禁 ping 和 SSH
- virbr0 是虚拟桥接口，仅限容器内部通信，不对外暴露
所有网卡统一配静态 IP，避免 DHCP 导致地址漂移、策略失效。
Linux Ai Server
下载
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
用 firewalld zone 绑定网卡实现逻辑隔离
firewalld 的 zone 是最直接的分区手段。每个 zone 对应独立的信任等级和默认策略：
- 创建专用 zone：firewall-cmd --permanent --new-zone=management
- 把管理网卡绑定进去：firewall-cmd --permanent --zone=management --add-interface=ens33
- 把业务网卡划入 public zone：firewall-cmd --permanent --zone=public --add-interface=enp0s8
- 关键一步：各 zone 的 FORWARD 默认目标设为 DROP，阻断跨网卡转发：
firewall-cmd --permanent --zone=management --set-target=DROP
firewall-cmd --permanent --zone=public --set-target=DROP
按 zone 单独配置端口与协议规则
不同网卡面对的风险不同，规则必须差异化设置：
-
management zone 只开必要服务：
firewall-cmd --permanent --zone=management --add-port=22/tcp
firewall-cmd --permanent --zone=management --add-port=8443/tcp -
public zone 更严格：
firewall-cmd --permanent --zone=public --remove-service=ssh
firewall-cmd --permanent --zone=public --add-rich-rule='rule protocol value="icmp" drop'
firewall-cmd --permanent --zone=public --add-port=443/tcp
配置完执行 firewall-cmd --reload 生效，并检查 /etc/sysconfig/network-scripts/ 下的底层配置，确保路由无冲突。
