Flexus L 装完宝塔后，安全组我只放这几个口

刚在华为云 Flexus L 上把宝塔装好，网站首页能打开，控制台里的安全组还是默认规则。后面备案、换网络、被人扫登录页，问题大多出在这一层。把我现在实际在用的放行方式记下来，给同样用轻量服务器加宝塔的人对照。

先分清两层门

云上的安全组是第一层，宝塔里的系统防火墙是第二层。只在宝塔里放行，安全组没放，外网照样进不来。反过来安全组全开、系统没拦，等于大门敞开。改规则时两边一起看，别只改一边。

真正要给访客的口

网站给别人访问，我只留两个。

80 端口。备案前用来放核验文件，备案通过后给没走加密的访问。审核那几天这个口必须从公网打得开，首页是真实站点，不要停站，也不要跳到别的地址。

443 端口。证书装好之后再开。没证书就先别开，开了访客看到的是报错页，审核有时也会走到这里碰壁。

远程登录我平时用控制台自带的网页终端，安全组里的 22 先关掉。要用再临时打开，用完关掉。一直开着，过两天系统日志里全是尝试登录。

面板那个口不要对所有人开

宝塔装完会给一个带端口的面板地址，默认端口很多人知道。安全组里如果这条规则的来源写成所有地址，别人扫到就能看到登录页。我的做法是把来源改成自己当前的出口地址，而不是所有地址。

换了网络上不了面板，先回 Flexus 控制台把来源改一下，别图省事改成全开。用完记得再收窄。

面板端口也建议在宝塔里换掉默认值。顺序很重要：先在安全组放行新端口，确认能打开新地址，再删旧端口。反过来操作，会把自己关在门外，只能进控制台用网页终端改回来。

和备案碰到的一次退回

上次提交备案时，我嫌 80 端口多余，只留了 443。管局核验走的是普通端口，站点打不开，被退回一次。补开 80、首页能直接打开之后才过。所以审核没结束之前，不要只留加密端口。

还有一个容易忽略的：备案里填的域名，要和宝塔站点里绑定的域名一致。绑定了别的跳转，核验打开看到的不是你填的站点，也会被要求修改。

改完自己怎么验

用手机流量打开网站，不要连家里的无线，免得和服务器走了同一张网。首页能开，面板登录页打不开，说明访客的口和面板的口分开了。

再回控制台看入方向规则。面板那条的来源如果还是所有地址，就收窄。不需要再买额外防护，口先收干净，比装一堆插件有用。