7.5. 防火墙直接规则

firewalld 服务提供多种配置规则的方法，包括：

这两者的一个区别在于，每个方法与底层后端(iptables 或 nftables)交互的方式。

直接规则是高级低级别规则，允许直接与 iptables 交互。它们绕过 firewalld 的结构化管理，为您提供更多控制。您可以使用原始 iptables 语法使用 firewall-cmd 命令手动定义直接规则。例如，firewall-cmd --direct --add-rule ipv4 filter INPUT 0 -s 198.51.100.1 -j DROP。此命令添加了一个 iptables 规则来丢弃来自 198.51.100.1 源 IP 地址的流量。

但是，使用直接规则也具有其缺点。特别是当 nftables 是您的主要防火墙后端时。例如：

因此，您可以考虑使用 nftables 替换 firewalld 直接规则。查看知识库解决方案 如何将 firewalld 直接规则替换为 nftables？ 以查看更多详情。