服务器端口不要全开：宝塔面板系统防火墙端口规则怎么配

服务器端口不是开得越多越好——暴露公网的端口越多，被扫描、被攻击的面就越大。宝塔面板的系统防火墙可以按协议、端口号、来源 IP 添加允许或拒绝规则，正确的做法是「按需放行 + 关键端口限制来源 IP」。本文讲清常用端口哪些必须放行、哪些建议限制来源 IP，以及规则怎么配、状态怎么看。

端口要不要全开？不要，按需放行

宝塔面板的系统防火墙用于管理服务器端口访问规则，支持添加、修改、删除端口规则，实现对指定端口的访问控制（允许/拒绝），适用于配置 Web 服务、数据库、FTP 等网络服务的端口放行或屏蔽。

不同端口的暴露风险不一样，官方给出的常用端口参考如下：

端口	用途	是否需放行
22	SSH 远程管理	必须（仅允许可信 IP）
80	HTTP 协议默认端口	必须（若启用 HTTP 服务）
443	HTTPS 协议默认端口	必须（若启用 HTTPS 服务）
3306	MySQL 数据库端口	按需（建议限制来源 IP）
20/21	FTP 主动模式端口	按需（配合被动模式端口范围 39000-40000）
888	phpMyAdmin 管理端口	按需（建议修改为非默认端口）

可以看到：22、80、443 这类对外服务端口必须放行，但 SSH（22）要「仅允许可信 IP」；数据库端口 3306、phpMyAdmin 端口 888 则是「按需」且建议限制来源或改掉默认端口。核心原则就一条——不用的端口不开，能限制来源的一定限制。

端口规则怎么配

1. 登录宝塔面板，点击左侧导航栏【安全】→【系统防火墙】。

   

2. 查看当前已有的端口规则列表，包括协议、端口、状态、策略、来源等信息。

   

3. 点击端口规则区域的【添加端口规则】按钮，按参数逐项填写后【提交】：

参数	说明
协议	选择端口使用的协议（TCP、UDP、TCP/UDP），默认选 TCP（如 HTTP 用 TCP，DNS 用 UDP）
端口	输入单个端口（如 80）或端口范围（如 39000-40000），支持逗号分隔多个端口（如 80,443）
来源	所有 IP：允许/拒绝所有 IP 访问；指定 IP：单个 IP 或 IP 段（如 192.168.1.0/24）、IP 范围（如 192.168.1.10-192.168.1.20）；指定域名：企业版专享
策略	选择允许（放行端口）或拒绝（屏蔽端口）
备注	填写端口用途（如「Web 服务端口」「FTP 被动模式端口」），便于后续管理

例如放行 Tomcat 服务端口 8080：协议选 TCP，端口填 8080，来源选「所有 IP」，策略选「允许」，备注填「Tomcat 服务端口」，点击【提交】即可。

端口状态怎么看

添加规则后，在端口规则列表中查看新规则，状态有三种：

• 正常：端口已被服务监听，且防火墙规则生效，访问正常。
• 未使用：端口无服务监听、服务未启动，或规则已废弃（可删除无用规则）。
• 外网不通：可能原因包括服务未监听外网 IP、云服务商安全组未放行、规则未生效；不影响访问时可忽略。

如果端口放行后仍无法访问，按三步排查：先检查服务是否正常运行（如 netstat -tunlp | grep 端口号），再确认云服务商安全组已放行相同端口，最后删除端口规则后重新添加确保生效。

配规则的两个注意点

1. 不同系统防火墙差异：CentOS 6 使用 iptables 防火墙，面板仅显示通过面板添加的规则；CentOS 7+ 使用 firewalld，面板会读取所有规则（包括命令行添加的）；Debian/Ubuntu 使用 ufw，规则同步至系统。

2. 云服务商安全组：务必在腾讯云、阿里云等控制台放行对应端口，否则防火墙规则可能失效。

误删关键端口规则时，可提前用「导出规则」备份规则文件（.txt 格式），误删后用「导入规则」一键批量恢复，或手动重新添加 22、80、443 等常用端口并设置策略为「允许」。