宝塔面板外网地址无法访问的安全组与防火墙配置详解（阿里云/腾讯云/华为云）
宝塔面板外网无法访问，90%是云服务商安全组或服务器防火墙没放行端口。三大云厂商的配置方法如下。
阿里云安全组配置。1. 登录阿里云ECS控制台。2. 实例列表找到对应服务器，点"安全组"列的安全组ID。3. 点"配置规则"-"入方向"-"手动添加"。4. 规则配置：协议类型=自定义TCP，端口范围=8888/8888（或改后的面板端口），授权对象=0.0.0.0/0（允许所有IP，或填公司IP更安全），描述=宝塔面板。5. 点保存。6. 同时放行80（HTTP）、443（HTTPS）、22（SSH）、3306（数据库，不建议对外开放）。7. 等1分钟生效，访问面板测试。
阿里云高级配置。1. 只允许特定IP访问面板：授权对象填公司公网IP/32，如1.2.3.4/32。2. 安全组是有状态的，入方向放行后出方向自动放行。3. 多安全组：服务器可以绑多个安全组，规则取并集。4. 阿里云还有"云盾"，可能拦截异常访问，在云盾控制台看有没有拦截记录。
腾讯云安全组配置。1. 登录腾讯云控制台-云服务器-CVM-安全组。2. 找到服务器绑定的安全组，点"修改规则"。3. "入站规则"-"添加规则"。4. 类型=自定义，来源=0.0.0.0/0（或指定IP），协议端口=TCP:8888，策略=允许，备注=宝塔。5. 保存。6. 腾讯云也有"安全防护"，检查是否拦截了面板端口。7. 腾讯云支持"一键放通"常用端口，可以快速放行80/443/22/3389。
华为云安全组配置。1. 登录华为云控制台-弹性云服务器-安全组。2. 点安全组名称-"入方向规则"-"添加规则"。3. 协议端口=TCP，端口=8888，源地址=0.0.0.0/0（或指定IP），描述=宝塔面板。4. 确定。5. 华为云默认安全组只放行了22和3389，其他端口都要手动加。
服务器内部防火墙。安全组放行了，服务器内部防火墙可能还拦着。CentOS7/8：firewall-cmd --list-ports看已放行端口，没有8888就firewall-cmd --add-port=8888/tcp --permanent && firewall-cmd --reload。CentOS6：iptables -I INPUT -p tcp --dport 8888 -j ACCEPT && service iptables save。Ubuntu：ufw allow 8888/tcp。宝塔安装时通常自动配置了防火墙，但手动优化过的可能被关了。
宝塔面板自带防火墙。宝塔软件商店的"Nginx防火墙"或"Apache防火墙"可能拦截面板访问。临时关闭测试，能访问就是防火墙规则问题，把面板端口或自己IP加白名单。
验证端口是否开放。方法一，本地电脑telnet：telnet 服务器IP 8888，能连接显示黑屏，连接失败提示超时或拒绝。方法二，在线端口扫描：站长工具-端口扫描，输入IP和端口，显示开放即通。方法三，服务器内部测试：netstat -tlnp | grep 8888看是否监听，curl http://127.0.0.1:8888看本地能否访问。本地能访问外网不能，就是安全组/防火墙问题。
修改面板端口后的配置。把宝塔默认端口8888改成其他端口（如38472）后，必须：1. 安全组放行新端口38472。2. 服务器防火墙放行38472。3. 旧端口8888可以从安全组删除（更安全）。4. 用新端口访问：http://IP:38472/安全入口。
面板域名访问。绑定域名访问面板（如bt.domain.com）：1. 域名解析到服务器IP。2. 安全组放行80和443端口。3. 宝塔面板设置里绑定域名。4. 申请面板SSL。5. 用https://bt.domain.com访问，不需要带端口（用80/443）。6. 域名需要备案（国内服务器）。
安全建议。1. 面板端口不要用默认8888，改成10000以上的随机端口。2. 安全组里面板端口只允许公司IP访问，不要0.0.0.0/0。3. 开启面板SSL和域名访问。4. 定期看安全组规则，删除不用的开放端口。5. 不要开放3306数据库端口到公网，用SSH隧道连接。6. 云服务商的安全组是第一道防线，配置好能挡住大部分攻击。
三大云的安全组配置逻辑相同，只是界面不同。核心是：入方向放行面板端口的TCP协议，来源可以是所有IP或指定IP。配置后等1分钟生效，用telnet或在线工具验证。
更新时间：2026-08-26 18:02:55
上一篇：一台服务器可以建设几个网站_配置估算_资源隔离_性能影响_建议