本文面向在 Linux 生产环境中部署宝塔面板的Operations人员，整理一套以“先备份、再变更、可回滚”为原则的面板安全Configuration方法。以下内容适用于 Debian、Ubuntu、AlmaLinux、Rocky Linux 等主流长期支持版本，宝塔面板和系统版本请以当前官方文档及实际环境为准。如果你的业务位于香港节点并涉及直播推流、CDN 源站、大文件分发或数据同步等持续流量场景，也可以将本文作为上线前的安全基线参考。
一、适用范围与备份要求
1.1 适用系统与软件版本
建议使用仍在安全维护周期内的系统，例如 Debian 12、Ubuntu 22.04/24.04、AlmaLinux 9 或 Rocky Linux 9。宝塔面板选择官方稳定版，不要使用来路不明的安装脚本。部分命令与包管理器相关，务必根据当前发行版调整。
1.2 操作前备份
任何涉及 SSH、防火墙、面板入口的变更，都应先备份Configuration。下面给出几条非破坏性备份命令，仅用于复制文件，不会覆盖或删除数据：
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F)
sudo iptables-save > ~/iptables.bak.$(date +%F)
sudo tar -czf ~/panel_data_bak_$(date +%F).tar.gz -C /www/server/panel data建议同时记录当前面板端口、安全入口、授权 IP 和已启用服务，便于回滚时比对。
二、Linux 系统基础加固
在Configuration面板之前，应先完成系统层的基础加固，这会减少后续面板暴露面。下面的命令仅用于查看和修改Configuration，不涉及删除用户数据。
2.1 SSH 登录加固
先Configuration密钥登录并验证可用，再考虑关闭密码登录。修改 /etc/ssh/sshd_config 后，使用 sudo sshd -t 检查语法。常用参数包括 PermitRootLogin prohibit-password、PasswordAuthentication no、AllowUsers your-admin。修改前保留备份，修改后另开终端确认能正常登录，否则不要退出当前会话。
2.2 防火墙最小开放
保持默认拒绝入方向流量，仅放行业务端口。以 UFW 为例：
sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw allow from 203.0.113.10 to any port 8888 proto tcp这里的 203.0.113.10 为示例地址，请替换为你的Operations来源 IP。放行面板端口时，尽量限制来源 IP，而不是对全网开放。如果需要更完整的基线，可查阅Linux服务器安全Configuration指南中的相关建议。
三、宝塔面板安全设置
在系统层完成后，进入面板侧Configuration。核心目标是将管理入口、登录方式和操作权限限制在最小范围。
3.1 修改默认入口与端口
登录面板后，在“安全设置”中修改默认端口和安全入口。不建议使用 8888、默认入口或常见管理路径。修改后清理浏览器缓存，用None痕窗口验证新入口可访问，且旧入口不再响应。
3.2 绑定访问域名与授权 IP
如有固定管理域名，可开启面板 SSL 并绑定域名；如果只用 IP 管理，建议启用面板自签证书。进一步在面板中设置授权 IP，只允许办公网或Operations跳板机访问面板端口。这样即使面板组件出现未知漏洞，也能先减少被扫描和利用的范围。
3.3 限制网站运行用户
网站运行用户不应使用 root。宝塔面板通常会为站点创建独立用户，保留这种隔离即可。对于上传目录，可启用“防跨站攻击”和 open_basedir 限制，避免单个站点被入侵后横向影响其他目录。面板侧还有更多细节，可参考宝塔面板服务器安全设置下的技术文档。
四、香港High-Bandwidth Servers场景下的端口与流量控制
当业务部署在香港High-Bandwidth Servers上时，往往承载视频直播、CDN 源站、下载分发或跨区域数据同步等持续吞吐任务。这类业务对Network质量敏感，但安全策略同样不能忽视。例如，源站 80/443 只对 CDN 厂商回源 IP 开放；RTMP 推流端口只允许固定推流端访问；数据库端口默认不对公网开放。
如果你正在评估香港节点的High-Bandwidth Servers租用，建议在开通后先测试实际端口、线路与峰值表现，再结合防火墙规则限制流量入口。高吞吐能力有助于业务扩展，但实际可用Bandwidth和线路质量应以套餐及实时Network监测为准。
在进行香港G口Server Rental时，建议重点关注公网入方向端口范围、防火墙策略是否支持灵活调整，以及是否便于与 CDN 或推流端做访问控制。
五、验证方法与回滚思路
变更完成后，不要直接结束。按以下顺序验证：
- SSH：执行
sudo sshd -t检查语法，再新开终端测试登录，确认现有会话可继续使用。 - 防火墙：执行
sudo ufw status verbose或sudo firewall-cmd --list-all，确认仅开放必要端口。 - 面板：使用None痕浏览器访问新入口，确认能登录且旧入口不可达；同时查看面板日志是否存在异常尝试。
- 业务：如果涉及香港High-Bandwidth Servers上的直播或分发，验证推流/回源连接是否正常，监控流量与丢包。
如需回滚，可使用操作前备份文件覆盖当前Configuration，并重启对应服务。例如恢复 SSH Configuration：sudo cp /etc/ssh/sshd_config.bak.xxxx-xx-xx /etc/ssh/sshd_config，然后 sudo systemctl restart sshd。防火墙规则可用 sudo iptables-restore < ~/iptables.bak.xxxx-xx-xx 恢复。回滚后仍要验证业务是否恢复，再逐步排查原因。
六、总结
安全Configuration不是一次性的清单，而是需要随着业务和面板版本持续调整。对于跑在香港High-Bandwidth Servers上的持续流量业务，安全策略应在不影响正常分发和同步的前提下，优先收缩管理面，再逐步限制业务端口来源。
以上内容由服务商根据常见生产环境整理，具体执行请以你的系统版本、面板版本和官方文档为准。
如需了解香港节点产品与服务能力，可访问IDCY Global。
七、常见问题
修改面板端口后None法访问怎么办？
先检查面板进程是否运行，再核对防火墙是否放行新端口，并确认访问来源 IP 是否在授权范围内。若仍None法解决，可登录服务器查看面板日志，必要时从备份恢复旧Configuration。
是否建议直接关闭 SSH 密码登录？
不建议在未验证密钥登录前直接关闭。应先Configuration密钥、保存私钥、新开终端测试通过，再修改 PasswordAuthentication no，并保留当前会话以便失败时回滚。
What businesses are Hong Kong’s high-bandwidth servers suitable for?
更适合下载分发、视频直播、CDN 源站、数据同步等需要持续吞吐或流量高峰明显的业务。选择具体Bandwidth和线路时，应以套餐说明和实时测试为准，不建议仅凭端口规格做决策。
防火墙规则恢复后业务仍然异常怎么办？
先确认规则是否恢复完整，再检查服务进程和监听状态，最后查看应用日志。回滚只应回退最近一次变更，避免同时恢复多个Configuration造成干扰。
本文命令是否适用于所有 Linux 版本？
不。不同发行版的包管理器、服务名和防火墙工具存在差异。执行前请根据当前环境调整，并以官方文档为准，尤其是非 LTS 或定制内核系统。