服务器宝塔面板：装完先改这3处，不然白装

面板装完能打开，不代表就能用了。服务器宝塔面板这玩意儿确实把 LNMP 那一套铺得又快又顺，以前要折腾半天的环境，现在十几分钟就能跑起来一个站点，我也一直在用。但有个事得说清楚：装完那一瞬间的状态，是给”先跑起来”准备的，不是给”长期挂在公网上”准备的。被扫的往往不是什么大站，就是个人小站、随手搭的工具站、测试完忘了关的面板。从装好到第一次被人撞门，可能比你想象中快得多。

服务器宝塔面板的默认样子，本来就是给内网准备的

登进去看到一排绿色图标，心里挺爽，这时候多数人就不动了。问题就在这儿——默认放行的端口有一堆，面板自己的端口、SSH 的 22、phpMyAdmin 那个 888，有时候数据库的 3306 也在外面晾着。默认值最麻烦的地方是：全世界都知道它默认长什么样。扫描器根本不需要聪明，它只要知道哪个端口常挂面板，挨个试过去就行了。

还有件事挺多人忽略：面板登录页是公开能打开的。你要是没做任何限制，等于把后台大门摆在路边，只差一个密码。密码这层当然要强，但让门根本看不见，才是更省心的办法。

第一处：面板端口和安全入口，顺手把面板 SSL 也处理了

面板设置里那几项，进去改一遍花不了几分钟。端口别用大家默认那个，换成五位数的、自己记得住的就行。安全入口那串随机路径别关掉，很多人嫌长、嫌麻烦给关了，这一关等于回到裸奔状态。面板 SSL 也顺手看一眼，默认自签证书浏览器会报红，别养成点”继续访问”的习惯，那等于训练自己忽略警告。

能更进一步的是 IP 白名单。如果你自己有固定出口 IP，把面板访问限制在自己的 IP 上，别人连登录页都刷不出来，这招最省事也最有效。没有固定 IP 的话，至少把面板绑到一个不常用的子域名上，别用 IP 直接访问。改完端口记得防火墙那边同步放行新的、关掉旧的，不然你会发现自己把自己关在门外。

第二处：账号密码和授权 IP，别让 root 一直裸着

默认用户名、装完给的那串初始密码，这两样必须换。别在面板密码上花心思，SSH 那边却还是原来那串简单密码——这是一堆人踩过的坑，面板加固得像铁桶，22 端口敞开给人撞。SSH 建议直接禁掉 root 密码登录，改用密钥，密钥文件自己收好，别往网盘里随手一扔。

二次验证能开就开。手机装个验证器，登录多一步，但被人拿到密码也进不来。面板里的”授权 IP”和”登录告警”这类设置也一并看下，有人半夜从陌生 IP 登你的面板，至少你能收到个提醒。这些东西不花一分钱，纯粹是动手不动手的问题。

第三处：备份别偷懒，也别把备份和站点放同一块盘

计划任务里做备份，是宝塔最实用的功能之一。但最常见的错误做法是：备份文件就放在同一台机器的同一个盘上。盘一旦挂了，站点和备份一起没；被人挂了马，备份里也是一份带马的代码，恢复回去等于白恢复。

靠谱一点的做法是备份往别处拉：对象存储、另一台机器、或者定时同步到自己电脑上。数据库和网站目录分开备份，别打一个大包，出问题时你只想恢复其中一个。还有，备份要留几个版本，只留最新一份的做法在真出事的时候基本没用——你可能几天后才发现站点被改过，那时候最新备份早就被污染了。

888 端口和 phpMyAdmin，顺手处理一下

宝塔装的 phpMyAdmin 默认挂在 888 端口，只要能访问到你的 IP，就能打开它的登录页去撞数据库账号密码。处理办法有几个：把 888 端口从公网放行里删掉，只留内网访问；或者从面板里点进去用；实在要用公网访问，至少给它加一层访问限制，再配个强密码。数据库 root 的密码同样别用默认的，也尽量别让站点程序用 root 连库，单独建个库单独建个用户，权限只给到那一个库。

改完不是完事，隔段时间还得翻一遍

面板版本和系统更新，隔一阵子看一眼，有更新就找个人少的时间点升，别一直拖着。防火墙规则是每加一个服务就顺手检查一遍的东西，装个新程序、放行一个新端口，回头就忘了关，这种事太常见了。日志和登录记录也值得偶尔扫一眼，看不懂没关系，先看有没有陌生 IP 反复出现。

如果面板里开了监控或者告警，让它跑着就行。真出事的时候，有没有一条提醒，差别很大。

所以三处到底是哪三处，捋一遍：面板端口和安全入口、账号密码与授权限制、备份策略。前两件加起来也就十分钟，属于今天就能干完的；备份稍微麻烦点，得想清楚备份存哪、留几份。要是你现在只打算动一处，那就先去把面板端口和 SSH 那两样改掉，这是性价比最高的十分钟。剩下的事，慢慢补，别等出事再回头翻设置。