我的书签
添加书签
移除书签2.3 面板安全加固：端口、入口、SSL 与账号
一句话回答
加固就是按顺序做完四件事：换掉默认端口、设好安全入口、给面板开 SSL、把账号密码调成强账号强密码。每改一项，立即验证；顺序错了，第一个被锁在门外的是你自己。
第一章 1.4 节讲过「三层防线」的概念（云安全组 → 本机防火墙 → 面板自身），本节是面板自身这一层的操作手册：每一项在哪点、填什么、怎么验证、出事怎么救。两道防火墙的配法在第五章 5.3 节细讲，这里只讲面板侧。
加固之前：先做两个检查
改端口之前，先确认两件事，能避免 90% 的「改完进不去」事故：
| 检查 | 命令/位置 | 目的 |
|---|---|---|
| 新端口有没有被占用 | ss -tlnp \| grep 端口号 或 netstat -tlnp \| grep 端口号 |
端口被别的程序占了，面板改过去会启动失败 |
| 防火墙规则 | 云安全组 + 主机 → 防火墙 | 先放行新端口，再改端口 |
顺序记住一句话：先开道，再换门。 在云安全组和本机防火墙里把新端口先放行，然后回面板改端口，最后再考虑关掉旧端口。反过来操作就只有一个结果——把自己锁外面。
第一项：面板端口
位置：面板设置 → 安全 → 面板端口。
修改前应检查端口占用，并同步放行防火墙或安全组——这是官方文档原话强调的。填入你选好的高位无规律端口（如 44882），保存后面板会重启服务，用新地址刷新浏览器。
| 选端口原则 | 反面教材 |
|---|---|
| 10000~65535 高位 | 8080、8888、8090 这类常见数字 |
| 没规律 | 顺子、生日、公司成立年份 |
| 没被占用 | 80/443/22/3306/6379 等服务端口 |
万一改完进不去：SSH 上服务器执行 1pctl update port 按提示改回来（2.4 节有完整命令表）。
第二项：安全入口
位置：面板设置 → 安全 → 安全入口。
这是 1Panel 性价比最高的安全设置：设了之后，只有访问指定路径才出现登录页，其它路径一律不返回登录页。扫描脚本就算知道了你的 IP 和端口，也找不到门在哪里——它试 /admin、/login 全部扑空，更别提暴力破解密码了。
配套的一项是未认证设置：当别人没走安全入口访问时返回什么内容。随便选，重点是不暴露任何面板信息。
| 操作要点 | 说明 |
|---|---|
| 规则 | 3~30 位字母、数字、下划线 |
| 别用常见词 | admin、login、entrance、panel 都是一眼能猜到的 |
| 建议样式 | 形如 ky9_panel_x2 这种没规律的 |
| 保存位置 | 和端口、密码一起记进密码管理器 |
安全入口忘了会怎样：你进不去面板，但服务器还能 SSH 上去，执行 1pctl reset entrance 即可取消安全入口（取消后记得重新设一个）。
第三项：授权 IP 与域名绑定
这两项是「缩小暴露面」的加强手段，看你的条件选用：
| 设置 | 作用 | 什么时候用 |
|---|---|---|
| 监听地址 | 限制面板监听哪个主机地址 | 一般默认即可，多网卡机器按需设 |
| 授权 IP | 只允许指定 IP 或网段访问面板 | 你的 IP 固定（公司宽带、固定 IP 家庭宽带）时强烈建议 |
| 域名绑定 | 只允许指定域名访问面板 | 有域名且已解析到本机时建议 |
授权 IP 的效果最直接：设成你的固定 IP 后，别人的请求在面板这一层就被拒了，连登录页都看不到。代价是——你的 IP 一变（出差、换网络）就进不去了。所以设置前想清楚，或者把自己常用的几个网段一起加上。忘了也没事，1pctl reset ips 一条命令取消。
域名绑定同理：前提是域名已经解析到本机，否则面板收到请求的 Host 对不上，直接拒绝。填错了一样进不去，补救命令 1pctl reset domain。
第四项：面板 SSL
位置：面板设置 → 安全 → 面板 SSL。
给面板本身开 HTTPS，访问地址从 http:// 变成 https://。好处有两个：登录密码不再明文传输（默认 HTTP 下面板登录是明文的）；浏览器地址栏不再显示「不安全」。
官方明确了一个前提：证书和域名必须匹配。 也就是说：
- 先把域名解析到服务器 IP；
- 拿到一张这个域名的证书（在面板的「证书」模块申请 Let's Encrypt 免费证书，或自己上传，第三章 3.3 节细讲证书申请）；
- 回到面板 SSL 设置里启用并选择这张证书。
两个坑：
| 坑 | 说明 |
|---|---|
| 没域名就开不了 | 证书与域名绑定，IP 访问只能用自签证书（浏览器会报警告） |
| 开了 SSL 后 http 访问会异常 | 习惯把地址栏换成 https://IP:端口/安全入口；想退回 HTTP 用 1pctl reset https |
如果只是个人小站、面板只有自己用，「端口 + 安全入口 + 强密码」其实已经够了；面板 SSL 属于锦上添花。但你要是在登录面板时输入过任何敏感信息，开 SSL 是值得的。
第五项：账号与密码
位置：改密码在 左下角头像 → 用户信息；策略在 面板设置 → 安全。
| 设置 | 建议值 | 说明 |
|---|---|---|
| 用户名 | 不用 admin |
安装时就设非通用用户名 |
| 密码 | 12 位以上，含大小写 + 数字 + 符号 | 官方要求 8~30 位 |
| 密码过期时间 | 按团队要求设 | 到期强制改密码 |
| 密码复杂度校验 | 建议开 | 强制新密码满足长度和字符类型 |
| MFA 两步验证 | 建议 | 在用户信息里开启 |
MFA 开了之后，换手机/删掉验证器之前一定要先处理，否则两步验证过不了就进不去。补救命令：1pctl reset mfa。
配完怎么验证：四步自检
改完不验证等于没改。按这四步走一遍：
- 无痕窗口打开：新开浏览器的无痕模式（不带任何缓存和自动填充），确认用新端口 + 安全入口能打开登录页，能登录。
- 错误入口测试：故意访问
http://IP:端口/和http://IP:端口/admin——应该不出现登录页。出现了说明安全入口没生效。 - 换网络测试：用手机流量（不同 IP）打开一下。授权 IP 设错了的话，这一步就能发现。
- SSH 留好：确认 SSH 能连上服务器——这是所有救命命令的前提。SSH 都连不上，那就只能去云控制台的 VNC 救场了。
加固操作顺序速查
一条总结的执行顺序，照着做不会错：
1. 查新端口是否被占用
2. 云安全组 + 本机防火墙先放行新端口
3. 面板设置 → 安全：改面板端口 → 验证能打开
4. 面板设置 → 安全：设安全入口 → 验证错误路径无登录页
5. 用户信息：改用户名、强密码、开 MFA
6. 有固定 IP → 设授权 IP；有域名 → 设域名绑定
7. 域名 + 证书就绪 → 开面板 SSL
8. 确认一切正常后，关掉防火墙和安全组里的旧端口
9. 全部信息记进密码管理器，再建一个快照（2.2 节）
进不去面板了：救命命令表
加固过程最常见的意外就是「把自己锁外面」。只要 SSH 能连上，下面这些官方命令都能救回来：
| 情况 | 命令 |
|---|---|
| 忘了安全入口 | 1pctl reset entrance |
| 域名绑定填错 | 1pctl reset domain |
| 授权 IP 把自己挡了 | 1pctl reset ips |
| 面板 SSL 回不去 HTTP | 1pctl reset https |
| MFA 过不了 | 1pctl reset mfa |
| 端口改错了 | 1pctl update port |
| 用户名/密码要改 | 1pctl update username / 1pctl update password |
建议：把这张表存一份在你的备忘录里，同时再记住 1pctl reset --help 和 1pctl update --help——忘了子命令随时能查。
本节要点
- 加固四件事：端口、安全入口、SSL、账号，外加按需的授权 IP 与域名绑定；
- 先开道再换门：先放行新端口，再改面板端口，最后关旧端口；
- 安全入口让扫描脚本「连登录页都看不到」，是性价比最高的一项；
- 面板 SSL 的前提是证书与域名匹配；没域名可以暂时不开；
- 每改一项立即验证（无痕窗口、错误入口、换网络），SSH 保持可用是底线；
- 锁在外面别慌，
1pctl reset系列命令能逐项取消限制。
更完整的官方说明，见《1Panel 官方文档：功能手册》中的「面板设置 - 安全」一节；命令行的完整用法见下一节。
下一步：1pctl 命令行速查表 + 常见安装失败排查，把工具和排错能力补齐。
