如何设置宝塔面板的端口白名单？
美国、香港服务器
如何设置宝塔面板的端口白名单？
02-10 来源:
设置宝塔面板端口白名单，核心是通过面板防火墙配置 “指定 IP 放行端口”，配合云安全组与命令行加固，同时做好规则备份与冲突排查，以下是分场景完整操作与最佳实践。
一、面板端端口白名单配置（推荐）
登录宝塔面板 → 左侧安全 → 系统防火墙，启用总开关。
进入 “端口规则” 标签，点击添加端口规则，按以下参数填写：
表格
参数 说明 示例
协议 选择 TCP/UDP（如 Web 用 TCP，DNS 用 UDP） TCP
端口 单个端口（8888）、范围（3000‑3005）或逗号分隔（80,443） 8888
来源 选 “指定 IP”，输入单个 IP、CIDR 段（192.168.1.0/24）或范围（192.168.1.10‑20） 192.168.1.0/24
策略 放行（白名单）/ 拒绝（黑名单） 放行
方向 入站（默认）/ 出站 入站
备注 标注用途（如 “办公网访问面板”） 办公网 IP
点击确定生效，可在列表中编辑、删除或批量操作；白名单 IP 优先匹配，不受其他拦截规则影响。
二、命令行配置（无界面 / 批量场景）
1. 面板内置命令（适配宝塔规则）
bash
运行
# 编辑端口白名单配置（以8888端口为例）
echo "192.168.1.0/24" > /www/server/panel/data/port_white_8888.conf
# 重启面板与防火墙生效
bt restart
# 查看端口白名单
cat /www/server/panel/data/port_white_8888.conf
2. iptables 规则（系统级加固）
bash
运行
# 放行指定IP访问8888端口（替换为你的IP与端口）
iptables -I INPUT -s 192.168.1.0/24 -p tcp --dport 8888 -j ACCEPT
# 拒绝其他IP访问该端口（仅放行白名单）
iptables -A INPUT -p tcp --dport 8888 -j DROP
# 保存规则（CentOS）
service iptables save
# 保存规则（Ubuntu/Debian）
iptables-save > /etc/iptables/rules.v4
# 重启防火墙
systemctl restart iptables
3. firewalld 规则（CentOS 7+/RHEL）
bash
运行
# 放行指定IP访问8888端口
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" port port="8888" protocol="tcp" accept"
# 重载规则
firewall-cmd --reload
# 查看已配置规则
firewall-cmd --list-rich-rules
三、云安全组协同加固（关键防护）
登录云厂商控制台（阿里云 / 腾讯云等）→ 目标实例 → 安全组配置。
添加入站规则：
协议 / 端口：TCP:8888（面板端口）、TCP:22（SSH）、TCP:80/443（Web）等。
授权对象：仅填写端口白名单 IP / 段，移除 0.0.0.0/0 的默认放行规则。
优先级设为 1‑100，确保云安全组与宝塔防火墙规则一致，避免冲突。
四、常见问题与排查
规则不生效：
关闭系统自带 firewalld/ufw，避免与宝塔防火墙冲突。
检查云安全组是否放行目标端口，安全组规则优先于服务器防火墙。
误封 IP：
面板端：在端口规则中删除误判 IP，重新添加正确白名单。
命令行：执行iptables -D INPUT -s 203.0.113.10 -j DROP删除黑名单规则。
规则备份：
面板端：在防火墙页面导出规则，定期备份至本地。
命令行：执行iptables-save > /root/iptables.rules备份规则。
五、最佳实践
最小化放行：仅开放必要端口（如 80、443、8888、22），高危端口（3306、6379）仅允许内网访问。
端口自定义：修改面板默认 8888 为高位端口（如 66666），并同步更新安全组规则。
定期审计：每月清理无效端口白名单，避免规则冗余导致性能下降。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
