宝塔面板装了却不敢动？先把这几个基础设置改掉

来源：互联网时间：2026-09-21

不少站长听人劝装了宝塔面板，打开后满屏菜单却不敢点，生怕改错一处整站崩掉。其实面板最该动的就是那几个“基础安全设置”，不动反而更危险——默认端口、弱密码、全开端口，都是被人盯上的入口。下面这几个设置，照着改一遍，你的服务器就从“裸奔”变成“关门”。

一、先改面板端口和登录入口

面板默认端口常见是 8888，全网都在扫这个端口，等于把后台门牌挂在路口。进“面板设置”，把端口改成 5 位非常用数字（别用 10000、12345 这种），能挡掉一大波自动化扫描。同时把“面板入口”加上一段自定义后缀，访问地址变成 ip:端口/你设的字符，进一步隐藏后台。

登录账号密码也要改：默认或初始密码若简单，立刻换成 12 位以上、字母数字符号混排的强密码。面板登录失败锁定也打开，连续错几次就封 IP 一段时间，专治爆破。

二、收紧端口，只放行业务要的

新装机器常被开一堆端口。进“安全”或“系统防火墙”，原则只有一条：业务用不到的端口一律不放。Web 站点只需要 80、443，SSH 用 22（或改成非常用端口），面板自己那个端口，数据库 3306 除非要远程连否则不要对外放。

下面这段命令在服务器上直接收紧防火墙（firewalld 环境），只留必要端口。它干什么用——把默认放行状态改成“只开白名单”，挡住扫描和乱连；要改哪里——ports 列表按你的实际情况增减；跑完看什么——用 firewall-cmd --list-ports 看到只剩你列的端口，其余均关闭。

# 只放行必要端口（firewalld 环境，按需修改 ports 列表）

ports=("22/tcp" "80/tcp" "443/tcp" "你的面板端口/tcp")

systemctl enable firewalld --now

firewall-cmd --set-default-zone=public

for p in "${ports[@]}"; do

firewall-cmd --permanent --add-port=$p

done

# 如不需远程连数据库，不要加 3306

firewall-cmd --reload

firewall-cmd --list-ports

跑完确认列表里只有你放行的端口，数据库端口不在其中。若是云厂商，还要去控制台安全组做同样的收敛，两层都关才稳妥。

三、开自动更新与监控告警

面板和操作系统补丁别攒着。面板“面板设置”里打开自动检查更新，有重大安全更新及时升。系统层面，宝塔“监控”功能打开，能看到 CPU、内存、流量的异常波动；再在“计划任务”里加一条“告警”，磁盘快满、负载过高时发通知给你。

很多人服务器被塞挖矿脚本，就是因为系统有已知漏洞没补、端口又全开，被人自动打进来。更新的价值不在新功能，在堵洞。

四、把备份开关真正打开

前面那篇讲过备份怎么做，这里强调“必须先开”。进“计划任务”，建一条每天备份网站、一条每天备份数据库，保留 7 到 30 份，目标选异地（对象存储或另一台机）。改完别走，手动点一次“执行”，确认备份文件真的生成、能下载、能解压，再放心。

下面这段命令验证备份目录里今天是否已有产物，避免“设了却没跑”。它干什么用——确认自动备份真的产生文件；要改哪里——把 BACKUP_DIR 换成你的备份路径；跑完看什么——列出当天日期的 tar/gz 文件，有就说明备份链路通，没有就回去查计划任务是否启用。

# 检查今日备份是否生成

BACKUP_DIR="/backup"

TODAY=$(date +%F)

echo "今日备份文件："

ls -lh $BACKUP_DIR/*$TODAY* 2>/dev/null || echo "未找到今日备份，请检查计划任务

五、改动前的小心机

怕改错？两个习惯能救命：一是每次大改动前手动备份一次；二是面板“文件”里改配置前先下载原文件留底，改崩了传回去就行。面板本身是可视化操作，误操作概率比命令行低，真正的雷是“从不改安全设置”和“从不备份”，而不是“动了某个设置”。

把端口、密码、防火墙、更新、备份这五项改完，你的面板就从“不敢动”变成“敢放心用”。剩下的建站、部署，都是在这块安全地基上做加法，怎么折腾都不慌。