隐藏宝塔后台登录地址防止全网扫描爆破

宝塔后台登录地址默认是 http://服务器IP:8888，这个地址被全网扫描工具盯上后，攻击者会持续尝试默认账号密码进行爆破。
要阻止这类攻击，最直接的办法就是修改默认后台端口、自定义后台路径，以及设置IP白名单。
本文按零基础可操作的方式，一步步教你完成三项设置。

为什么先改这些设置？

宝塔面板安装后，默认端口 8888 和后台路径 /admin 是公开的，扫描器只要匹配到这些特征就会发起登录尝试。
修改后攻击者无法直接猜出你的真实后台地址，爆破成本大幅上升。

准备工作

• 确保你已登录宝塔面板（如果被锁在外面，需先通过SSH执行 bt 命令恢复默认访问）。
• 建议在非业务高峰期操作，修改后需要刷新浏览器。
• 记下你当前的服务器公网IP和原有端口，以防改错后无法找回。

方法一：修改面板默认端口

1. 登录宝塔后台，点击左侧菜单最下方的「面板设置」。
2. 找到「面板端口」输入框，填入一个不常用的端口号（范围 1024-65535，避免使用常见端口如 8888、80、443）。例如改为 23456。
3. 点击「修改」按钮，系统会提示需要重启面板服务。修改后原端口立即失效。
4. 如果服务器开启了防火墙（如腾讯云、阿里云安全组），需手动放行新端口。以CentOS为例，执行：

   firewall-cmd --zone=public --add-port=23456/tcp --permanent
   firewall-cmd --reload

云服务器安全组规则也需添加对应入方向放行。

1. 用新地址访问：http://服务器IP:新端口。

方法二：自定义后台访问路径

宝塔支持修改面板别名（即后台路径），让扫描工具无法通过固定路径 /admin 找到登录页。

1. 同样在「面板设置」中，找到「面板别名」选项。
2. 默认是 admin，改为一串复杂且不易猜测的字母数字组合，例如 xxYYzz123。
3. 点击「修改」并保存。修改后登录地址变为：http://IP:端口/xxYYzz123。
4. 记住新路径，后续通过完整的路径访问。

方法三：设置IP白名单（推荐）

只允许你自己的办公或家庭IP访问后台，其他人无论用什么地址都打不开。

1. 在「面板设置」中找到「IP白名单」。
2. 输入你当前网络的公网IP（可以通过百度搜索“IP”查看）。
3. 多个IP用逗号分隔，例如 123.123.123.123,124.124.124.124。
4. 点击「添加」或「修改」后生效。注意：如果你在办公室和家里都需要访问，两个IP都得加。
5. 设置后尝试换个网络（如手机热点）访问后台，会提示“拒绝连接”，说明生效了。

避坑提醒

• 修改端口后忘记放行防火墙：你会彻底无法访问后台。如果发生，立即通过SSH登录服务器，执行 bt 命令，选择“修改面板端口”重新设置回可用端口。
• IP白名单锁死自己：如果你的IP是动态变化的（比如家庭宽带），请先添加一个较大范围的IP段（如 192.168.0.0/24）过渡，再确认自己的IP后收紧。
• 同时启用多种措施：端口、路径、白名单可以同时使用，互不冲突。建议至少组合修改端口和自定义路径。
• 关闭8888端口外网访问：修改端口后，原8888端口在防火墙中应删除或拒绝，避免残留。

效果验证

1. 用浏览器访问新地址：http://IP:新端口/自定义路径 — 应该正常显示登录页。
2. 用旧地址尝试：http://IP:8888/admin — 应提示无法访问或404。
3. 查看宝塔后台日志（在「安全」-「登录安全」中）确认没有最近的非授权尝试记录。

常见问题

Q1：修改后台端口后为什么无法访问？

最常见原因是服务器防火墙或云安全组没有放行新端口。
检查安全组规则和系统防火墙（firewalld/ufw）。
如果无法解决，通过SSH执行 bt 恢复默认端口。

Q2：IP白名单设置后，其他人就完全不能访问了吗？

是的，除非你把他们的IP加入白名单。
如果你需要临时让其他人帮忙管理，可以临时添加他的IP，事后移除。

Q3：宝塔面板支持同时开启端口修改、路径隐藏和IP白名单吗？

完全支持，所有功能都在「面板设置」中独立配置，建议全部开启。

Q4：如果忘记新后台地址，怎么找回？

通过SSH登录服务器执行 bt 14 或 cat /www/server/panel/data/admin_path.txt 可查看当前面板别名。
端口信息在 /www/server/panel/data/port.pl 中。

按照以上步骤完成设置后，你的宝塔后台基本可以抵御全网扫描爆破，只剩你自己能正常登录。
如果后续遇到IP变动或需要临时开放，按原路修改即可。