静态xml文件配置
firewalld 的配置设定存储在/etc/firewalld/ 目录下的 xml 文件里。可以通过查看和编辑这些 xml 文件，来实现firewall的配置。
之后笔者的配置流程主要是基于firewall-cmd命令展开，首先启动firewall服务：
| systemctl start firewalld.service //启动firewalld服务 |
接下来，开放外网网卡的对应的TCP端口，这里笔者选择public区域，也就是双网卡同时开放端口。
| firewall-cmd --zone=public --add-port=10086/tcp --permanent |
该命令的配置了public区域添加10086的端口，后续的参数--permannet则代表永久添加。也就是一次写入，后续重启之后依然生效。在firewall之中支持如下不同的区域区隔与过滤规则，之后不同的配置可以参考下面的内容：
区域
| drop: 丢弃所有进入的包，而不给出任何响应 block: 拒绝所有外部发起的连接，允许内部发起的连接 public: 允许指定的进入连接 external: 同上，对伪装的进入连接，一般用于路由转发 dmz: 允许受限制的进入连接 work: 允许受信任的计算机被限制的进入连接，类似 workgroup home: 同上，类似 homegroup internal: 同上，范围针对所有互联网用户 trusted: 信任所有连接 |
过滤规则
| source: 根据源地址过滤 interface: 根据网卡过滤 service: 根据服务名过滤 port: 根据端口过滤 icmp-block: icmp 报文过滤，按照 icmp 类型配置 masquerade: ip 地址伪装 forward-port: 端口转发 rule: 自定义规则 |
之后通过LVS配置好下图是通过ipvsadm配置好的转发机制：
通过外网尝试连接外网的ip地址，219.223.199.154:10086，发现并无法联通后端服务器的服务，也就是运行在192.168.1.11与192.168.1.14的服务器。
调用ipvsadm -lcn命令之后，发现内网的转发出现了问题：
通过抓包发现LVS服务器在内网网卡192.168.1.17上的通信包被拦截，于是继续通过firewalld-cmd命令开发内网网卡的端口,将内网网卡加入trusted区域:
| firewall-cmd --zone=trusted --add-interface=enp3s0 |
接下来可以看到开放了对应内网网卡到trusted，trusted区域允许所有通信包放行，因为内网是相对安全的环境，所以并不存在很大的影响，调用：
| firewall-cmd --list-all-zones |
命令展示firewall的配置结果，public与trusted区域都出于active状态，外网服务能够正常连接内网的端口服务了。
