1.4 面板安全入门：入口、端口、防火墙

一句话回答

面板安全就三件事：把门换掉（改端口）、给门加暗号（设安全入口）、配上保安（开防火墙）。三件事十分钟做完，能让 99% 的自动扫描脚本扑空。

你的面板一旦能从公网打开，就有人惦记它。这不是危言耸听：互联网上每天都有大量脚本在批量扫描 8888、8080 这类常见面板端口，试默认账号密码。你只要不做这三件事中的一个，就已经在靶场名单上了。

先理解「三层防线」

把面板的访问路径画出来，你就知道每道防线挡的是什么：

互联网
  │
  ├── 第 1 道：云厂商安全组（放行哪些端口）
  │
  ├── 第 2 道：服务器本机防火墙（firewalld / ufw / iptables）
  │
  ├── 第 3 道：面板自身安全（端口 + 安全入口 + 授权 IP + 域名绑定）
  │
  └── 登录页（用户名 + 密码 + MFA）

任何一道没设防，后面的设防都白搭。 比如你在面板里把端口改成了 44882，但云安全组只放行了 8090——那你连自己都进不去；反过来，安全组全开、面板端口是默认的，扫描脚本一眼就找到你。

第 1 道：云安全组

这是云厂商控制台里配的，和 1Panel 无关，但必须先配好。

原则：

最稳妥的一招：如果你的 IP 是固定的（公司宽带、固定 IP 家庭宽带），只允许你的 IP 访问面板端口。别人连登录页都看不到。

第 2 道：本机防火墙

1Panel 能直接管理本机防火墙，支持三种：

一个血泪警告（官方文档反复强调）：

远程连接服务器时，在启用防火墙之前必须先显式放行 SSH 端口，否则你会把自己锁在门外，再也连不上机器。

这句话不是吓唬人。正确的顺序是：

# RedHat / CentOS 系（先放 SSH，再放面板端口，最后才启动防火墙）
sudo firewall-cmd --zone=public --add-port=22/tcp --permanent
sudo firewall-cmd --zone=public --add-port=你的面板端口/tcp --permanent
sudo firewall-cmd --reload
sudo systemctl enable firewalld

# Ubuntu / Debian 系
sudo apt update && sudo apt install ufw
sudo ufw allow 22/tcp
sudo ufw allow 你的面板端口/tcp
sudo ufw enable

顺序不能错：先放行，后启用。如果你已经把自己锁外面了，只能去云控制台的 VNC/远程连接里救回来。

在 1Panel 里管理防火墙的入口是 主机 → 防火墙（5.3 节细讲），支持端口规则、端口转发、IP 规则。装好面板后建议统一在面板里管，别一会儿面板改一会儿命令行改，规则容易打架。

第 3 道：面板自身的安全设置

这是 1Panel 最有特色的一招，也是新手最常忽略的。入口在 面板设置 → 安全：

「安全入口」是什么，为什么必设

这个功能的设计很巧妙。设了安全入口后，只有访问指定路径才能打开登录页，其他路径一律不返回登录页。

举个例子，假设安全入口设成 mySecretDoor3：

效果：扫描脚本即使知道了你的 IP 和端口，也不知道门在哪里。它试 /admin、/login 全部没用——它连登录页都看不到，更别提试密码了。

安全入口的要求：3~30 位字母、数字、下划线。别用 admin、login、entrance 这种一眼能猜到的，用点没规律的，比如 ky9_panel_x2。

一个重要的坑：安全入口忘了，你就进不去面板（虽然能 SSH 上去用 1pctl reset entrance 取消）。把它和端口、密码一起记在你不会丢的地方。

最后一道：账号密码本身

前三道都做好了，账号密码是最后一关：

一个反例：很多人装完面板，用户名 admin、密码 12345678，端口默认，安全入口没设。这种配置活不过一周。

万一设错了进不去怎么办

这是最常见的事故：改了端口忘了开防火墙，或设了域名绑定结果域名没解析，啪——面板打不开了。

别慌，SSH 还能上就没事。 官方提供了命令行重置工具：

# 取消安全入口（忘了暗号时用）
1pctl reset entrance

# 取消域名绑定
1pctl reset domain

# 取消授权 IP 限制
1pctl reset ips

# 取消面板 HTTPS
1pctl reset https

# 取消两步验证
1pctl reset mfa

# 修改面板端口
1pctl update port

# 修改面板用户名 / 密码
1pctl update username
1pctl update password

这是官方明确写在文档里的救命命令，建议收藏。 更完整的 1pctl 用法见 2.4 节。

一份「装完就做」的安全清单

按顺序做，十分钟搞定：

1. 改面板端口（面板设置 → 安全 → 面板端口，改成高位无规律端口）；
2. 设安全入口（3~30 位，别用常见词）；
3. 云安全组放行新端口，关掉旧端口；
4. 本机防火墙里也同步放行新端口；
5. 改用户名（别用 admin），密码设强一点；
6. 有固定 IP → 设授权 IP；
7. 有域名 → 设域名绑定 + 面板 SSL；
8. 开 MFA；
9. 把「端口 / 安全入口 / 用户名 / 密码」记到密码管理器里。

本节要点

• 安全是三层防线：云安全组 → 本机防火墙 → 面板自身设置，任何一道漏了都白搭；
• 启用本机防火墙前必须先放行 SSH 端口，顺序反了会把自己锁外面；
• 安全入口是性价比最高的一个设置：让扫描脚本连登录页都看不到；
• 数据库端口不要对公网开放；
• 进不去面板别慌，1pctl reset 系列命令能救回来。

更完整的面板安全配置项说明，见《1Panel 官方文档：功能手册》中的「面板设置 - 安全」一节。

下一章：准备工作做完了，我们正式开始安装——一条命令，把面板装起来。