宝塔面板安全加固：改端口、改入口、绑 IP

面板装好就用默认设置，等于把服务器控制台挂到公网上等人扫。宝塔面板的老版本默认 8888 端口和随机入口路径是扫描器的重点目标，装完第一件事就是把访问面收窄：改端口、改入口、绑 IP。 一、改面板端口与入口路径 登录面板，进面板设置里的安全相关选项： - 安全入口：默认是形如 /abc12345 的随机串，自己再改一个难猜的。设置后任何不带正确路径的访问直接 403，扫描器连登录页都摸不到，这是性价比最高的一步。 - 面板端口：改成 20000 到 65535 之间的冷门端口。改完在云服务器安全组里放行新端口、封掉旧端口，两头都要动，否则可能把自己锁在门外。 命令行等效操作：SSH 执行 bt 命令进入交互菜单，按提示改端口、改入口、改密码，面板打不开时全靠这条路自救。 二、绑定访问来源 IP 办公网或家里宽带有固定 IP 的，在面板设置里绑定授权 IP。绑定后只有该 IP 能打开面板，其他来源一律拒绝。宽带是动态 IP 的用户退一步：安全组里只对自己的 IP 段放行面板端口，配合改端口一起用，暴露面同样大幅缩小。 三、再加一层 BasicAuth 在面板设置里开启访问限制（BasicAuth，浏览器弹窗输账号密码的那层认证）。这样即使入口路径泄露，还有一层密码挡着。顺手把面板 SSL 也开了，登录凭据全程走 HTTPS 传输，避免账号密码明文过网。 四、日常维护习惯 - 及时更新：面板设置里开自动更新，或每月手动检查一次。面板自身的历史漏洞不少，跑旧版本是最常见的被黑原因。 - 别用弱密码，密码管理器生成 16 位随机串。 - 定期看面板安全页的登录日志，出现陌生 IP 立即改密并排查。 - 服务器层照常做：SSH 改密钥登录、装 fail2ban、打系统补丁。面板加固替代不了系统加固，两层都要有。 最后给个兜底建议：把面板的访问方式（端口、入口、授权 IP）写进自己的运维文档，交接时同步更新。被锁在自己加固过的门外，是新手最常见的事故，别为了安全把自己也挡在外面。