3.5 特殊网络与离线场景：没有外网、没有公网，谁还能活

一句话判断：两款面板都天然偏爱“能上网的云服务器”；但在内网、NAT、离线这些非标场景里，1Panel 的离线包和 Docker 体系给了它更多容身空间，宝塔的“离线模式 + 官网账号体系”则决定了它在断网后哪些功能会失灵。

先分清三种“特殊网络”

很多混乱来自把三种场景混成一谈。先拆开：

前两类才是“特殊网络”，第三类其实是常态——而且它是新手背锅最多的地方（后面单开一节讲）。

离线安装：两边的官方答卷

1Panel：有正式的离线安装方案。 来源：1Panel 官方安装文档“离线安装”章节。要点：

这段官方文档里还藏着一个实用的容错设计：离线恢复时如果放错了安装包（放了企业版包进去），切换会执行完成但面板仍是企业版，且账号可能被重置——官方给出了解决办法（1pctl update username / 1pctl update password 重新设置）。文档把“用户会放错”这件事都预案了，这是离线场景打磨过的痕迹。

宝塔：离线能力怎么算？ 在本书引用的官方文档范围内，宝塔没有提供一个独立的“离线安装包”产品形态。但有三个相关事实必须说全：

1. 安装强依赖下载源：官方新手文档写明，安装过程要从 download.bt.cn 拉取安装包，“网络不通就装不了”；官方避坑指南直接列了“坑一：卡在下载不动”。
2. 面板有“离线模式”：宝塔官方 FAQ《面板无法连接官网问题排查》里明确提到一个类别——“面板开启了离线模式：离线模式会切断与宝塔官网的连接，导致相关功能失效”，并配有完整排查路径（网络连通性 → DNS 解析 → hosts 文件 → 离线模式开关）。
3. 离线后哪些功能会失效？ 官方 FAQ 列出的现象是：软件商店/插件市场加载失败、面板更新失败、授权异常。换句话说：面板本地建站能力还在，但“需要连官网的”那部分（软件商店、更新、授权验证）会失灵。

这一对比就清楚了：

一个诚实的限定：1Panel 的“离线友好”也有边界——离线包示例架构为 x86_64，冷门架构下的离线部署文档没有展开；而应用商店本质依赖拉取 Docker 镜像，纯内网环境仍需自备镜像源或提前导好镜像（这部分属于 Docker 通用实践，官方 FAQ 里架构篇章提到过手动 docker pull + docker tag 的操作思路，可见拉镜像这步绕不过去）。

无公网 / 内网 NAT：谁能“自给自足”

服务器没有公网 IP（或藏在 NAT 后），意味着面板只能给自己人用，而不是“裸奔”在公网上。这种场景下：

“裸奔部署”这个词在此需要定义清楚：如果指“面板端口不对公网开放、只走内网或跳板访问”，那两边都支持——面板跑起来不依赖公网，你把安全组和系统防火墙一关，它就是内网工具。1Panel 官方面板设置里甚至提供了“监听地址”（限制服务监听的主机地址）、“授权 IP”（只放指定 IP/网段进面板）等收窄入口的开关；宝塔的安全设置体系同样提供面板 SSL、域名绑定、IP 限制等多层门禁（bt 工具箱里还有一组“我被锁在外面了”的急救命令）。

说句实在的：无论选谁，“面板不裸奔”都应该是你的默认姿势。社区共识是：把面板端口暴露在公网还用默认端口/默认账号，被扫描和爆破是分分钟的事。让面板只在内网可达、或至少加上安全入口 + 授权 IP + 复杂密码，是成本最低的安全投资。

公共大坑：云安全组与面板端口

这一项不分 1Panel 还是宝塔，它坑过所有人。两家官方文档都不约而同地把它放在了避坑指南的头条位置：

为什么会背锅？因为云服务器的端口被两道门同时管着：

两道门必须都打开。面板只帮你开了里面那道；外面那道在云厂商控制台里，面板够不着。1Panel 与宝塔官方文档对此的解释几乎一字不差——这道坑面前，两家用户是同一条战壕的兄弟。

宝塔官方还总结了一个“死亡顺序”问题：改面板端口必须先放行新端口，再改端口，顺序反了就把自己锁在门外；1Panel 的 1pctl update port 与 1pctl reset entrance 等命令同样建议谨慎操作。这类问题两家都给了命令行后手（宝塔 bt 8、1Panel 1pctl update port），算互相打平。

特殊场景速查表

想了解两边完整的安全入口/端口/防火墙管理？延伸阅读：《1Panel 官方文档：技能、API 与常见问题》、《宝塔面板官方文档：安全》、《宝塔面板常见问题与技巧大全》。

本节要点

• 离线场景：1Panel 有官方离线安装/升级/恢复体系（示例架构 x86_64）；宝塔无独立离线包，离线模式下软件商店、更新、授权等连官网功能会失效（官方 FAQ 明示），但本地建站能力不受影响。
• 无公网 / NAT：面板运行本身都不需要公网，“裸奔部署”（仅内网可达）两边都支持；无论选谁，面板都不应对公网裸奔——安全入口、授权 IP、强密码是默认动作。
• 云安全组是两家用户共同的头号大坑：端口随机生成、两道门都要开、改端口先放行再改；这些规则与面板品牌无关。

下一步： 今天就检查你现有面板的暴露面——登录云控制台看安全组规则，确认面板端口是否对公网开放；若是，加上授权 IP 限制或改走内网访问。环境篇到此收束，下一章我们将进入两家面板最正面、也最能拉开差距的战场：应用与网站管理。