云服务器安装宝塔面板需要开放哪些端口

云服务器安装宝塔面板需要开放哪些端口

很多新手装好宝塔面板之后，浏览器访问面板地址打不开，90%的原因是云厂商安全组没放行端口，或者服务器内部防火墙拦截。这里要记住一个关键点：云服务器有两层防火墙，第一层是云服务商后台【安全组/实例防火墙】，第二层是系统内防火墙（firewalld/iptables，宝塔内置防火墙），两层都要放行端口。

重要提醒：新版宝塔安装完成后，面板端口不再固定8888，是随机生成的5位端口，以安装结束终端输出的端口为准，不要死记8888。

一、建站必备基础端口（必须放行）
|端口|协议|用途|说明|

|22|TCP|SSH远程连接服务器|用于Xshell、FinalShell登录服务器安装宝塔、维护系统；后期可修改为其他高位端口提升安全|
|80|TCP|HTTP网站访问|普通网站http访问，备案域名使用，网站核心端口|
|443|TCP|HTTPS网站访问|SSL证书加密访问，现在建站必开|
|面板随机端口（旧版默认8888）|TCP|宝塔面板后台|网页登录宝塔管理后台，安装完成看终端提示|

二、按需选择端口（不用就不要开放外网，减少攻击面）
|端口|协议|用途|安全建议|
|20、21|TCP|FTP文件上传下载|不用FTP上传源码，直接关闭；推荐用宝塔文件管理器代替FTP|
|3306|TCP|MySQL数据库|强烈不建议外网开放！ 开放外网极易被扫库爆破；本地网站使用只需要内网访问即可，远程连库建议使用SSH隧道|
|888|TCP|phpMyAdmin数据库管理页面|外网不建议放行，需要管理数据库可以内网访问，或者用面板内置数据库管理|
|39000-40000|TCP|被动模式FTP端口范围|开启FTP才需要放行这一段端口|

三、两层防火墙，都要配置

1. 云厂商安全组（阿里云/腾讯云/华为云）
   在云服务器控制台，找到安全组/实例防火墙，新增入方向放行规则，协议TCP，源地址0.0.0.0/0（新手临时测试用，生产环境建议限制自己本机IP）。

轻量应用服务器在实例防火墙里面添加端口，ECS云服务器在安全组页面添加。

2. 服务器系统内防火墙（宝塔防火墙）
   装好宝塔之后，进入【安全】-【防火墙】，在面板里添加放行端口；
   也可以命令行临时关闭系统firewalld测试（测试完成后建议开启宝塔防火墙）。

四、常见踩坑点

1. 只开系统防火墙，忘记云厂商安全组
   这是新手最高发错误，服务器里面放行了端口，但是云厂商安全组拦截外网请求，面板依旧打不开。两个都要放行。

2. 一直使用默认面板端口8888
   新版宝塔已经随机端口，如果你是老版本手动装的8888，登录面板后，建议修改面板端口为高位随机端口，降低被扫描爆破的概率。
   修改面板端口命令：bt setup，选择面板端口修改，修改前先在安全组放行新端口，避免改完无法登录。

3. 开放3306、phpMyAdmin到全网
   数据库端口暴露公网，黑客会批量扫描暴力破解，拖库。个人建站尽量不要外网放行3306。

4. 端口放行后还是无法访问面板
   排查顺序：
   ① 检查服务器公网IP是否正确；
   ② 确认安全组入方向放行面板端口；
   ③ 宝塔防火墙放行该端口；
   ④ 查看服务器有没有异常进程占用端口；
   ⑤ 命令查看面板状态：bt status。

五、个人建站最简推荐方案（安全优先）
只放行：22 + 80 + 443 + 宝塔面板端口
不开放外网：FTP 20/21、3306、phpMyAdmin。
网站文件直接用宝塔文件管理器上传，数据库在面板内管理，最大程度减少暴露端口。

六、快速查看宝塔面板端口命令
SSH连接服务器执行：

bt default

会输出当前面板访问地址、端口、账号密码。

七、总结
安装宝塔，核心是放行SSH(22)、网站80/443、宝塔面板端口，其他端口按需开启，不需要的端口不要对公网放行。记住云服务器安全组 + 系统防火墙两层都要放行，不要只配置其中一层。生产环境尽量修改面板端口、限制SSH登录IP，提升服务器安全性。