前几天帮一个刚搭完个人博客的学弟排查安全问题，一进去就看到他的宝塔面板还在用默认端口，我当时就跟他说，这第一步安全操作就得先改它。宝塔面板默认端口是8888，只要是碰过服务器运维的都门儿清，不改的话等于给黑客留了个方便进出的大门，真不是吓唬人。
说出来你可能不信，现在网上到处都是自动扫描端口的脚本，你开着服务器没俩小时，就能被扫到8888端口。一旦被扫到，接下来就是暴力破解密码，密码稍微弱一点，用不了多久就能被攻破。我前几年帮一个客户处理过入侵，他就是嫌改端口麻烦，觉得自己小站没人盯，结果不到一个月就被人挂了挖矿木马，整站CPU跑满，网站半天打不开，最后只能重装系统，之前存的一些原创内容数据还丢了，后悔都晚了。说白了，改默认端口就是花几分钟，堵上一个最容易被钻的空子，成本极低，收益可不低，为啥不做呢？
很多人急着改端口，改完之后发现自己也登不进去了，折腾半天才找到问题出在哪，所以提前做准备真的很重要。第一件事，就是先去你的服务器厂商后台，把你要改的新端口在安全组里放开，很多云服务器默认只开放几个常用端口，新端口不放通的话，改完你自己也进不来。第二件事，提前记好原来的端口和新端口，最好存在本地备忘录里，别改完就忘，找不到入口就麻烦了。还有啊，如果你服务器开了系统防火墙，也要提前把新端口加上允许规则，别等改完出问题再去服务商控制台救，真的很折腾，有时候还得找客服帮忙解锁，太浪费时间。
其实操作真的超简单，没什么技术难度，登进宝塔面板之后，点开左侧栏的「面板设置」，就能找到「修改端口」的选项了。选端口的时候，尽量选10000到65535之间的，别选1000以内的，那些大多是系统预留端口，容易冲突。也别选太有规律的，比如12345、99999这种，等于没改，照样容易被扫到。选一个自己好记，又不那么大众的端口就行。输完新端口点保存，这时候先别急着刷新当前页面，一定要新开一个浏览器的隐身窗口，试一下用新端口能不能登录，能正常登进去再关原来的页面，稳得很，不会出错。
改完新端口能登录之后，别忘了把原来的默认端口8888在安全组和防火墙里都关掉，别留着这个口子。如果想要更安全一点，还可以在面板设置里限制登录IP，只允许你自己常用的IP地址登录面板，这样就算别人扫到了端口，也没法尝试破解。另外啊，别隔三差五就改端口，改一次记好就够了，改多了自己容易忘，反而添麻烦。还有就是，如果你用了CDN或者反向代理，记得别把面板端口暴露给CDN，只让你自己能访问就够了，这点小细节注意到，安全系数又能提上来。
很多新手改端口的时候，容易踩几个隐形坑，我自己也踩过，给大家提个醒。第一个坑就是选了已经被其他服务占用的端口，比如有些人爱选8080、3306这些常见端口，可这些端口默认是给其他服务用的，你抢过来用，会导致端口冲突，原来的服务起不来，最后还得倒回去改，折腾半天。第二个坑是选了小于1024的端口，这些都是系统预留端口，不仅容易冲突，还要root权限才能绑定，普通人用完全没必要，自找麻烦。第三个坑是跟风选网上那些所谓的「安全端口推荐榜」，大家都去用那几个端口，久而久之那不就变成新的默认端口了吗？反而更容易被批量扫描到。最好的方式是自己随机选一个五位数的端口，记在自己的备忘录里，随机性越高，被扫到的概率就越低。
改完端口不是万事大吉了，一定要验证一下改对了，有没有达到想要的安全效果。怎么验证呢？首先，你可以先从本地用命令测一下，比如Windows打开cmd，用telnet命令测原来的8888端口，输入telnet 你的服务器IP 8888，如果提示连接失败，说明原来的默认端口确实关对了，然后再测你的新端口，如果能正常连接，就说明没问题。如果你不会用命令，也可以找一些正规的在线端口扫描工具，扫一下你的服务器开放端口，看看列表里有没有8888，没有就是对的。另外，改完端口之后过个三五天，你可以去宝塔面板的「日志」里看看登录记录，看看有没有陌生IP反复尝试登录，如果只有你自己的IP登录过，说明改端口确实挡住了大部分自动扫描，这就是实打实的安全效果了。我见过不少朋友改完之后，登录尝试的记录直接降到零，效果真的很明显。
说了这么多，其实改宝塔面板默认端口真的就是一件小事，花不了你三五分钟，但是带来的安全提升是实打实的。很多新手刚接触服务器，觉得安全都是大厂商要考虑的事，自己一个小站没人会盯上，没必要做这些基础操作，可实际上大部分入侵都是从这些没人注意的小漏洞小口子进来的，黑客本来就是批量扫全网，遇到默认配置就直接下手，你改个端口，就把90%以上的自动扫描挡在外面了。与其等出了问题再花大价钱找人补救，不如一开始就花几分钟把该做的基础安全操作做好，毕竟安全这事儿，防患于未然永远比亡羊补牢划算，你说是不是这个理？
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
