宝塔IP白名单设置教程

本文深入解析了宝塔面板IP白名单配置的完整闭环逻辑，直击用户“填了IP却仍被拦截”的核心痛点——必须同时开启「仅允许白名单IP访问」开关、同步配置云服务器安全组、适配Cloudflare代理场景，并为WAF单独设置白名单，四者缺一不可；文章以实操路径、典型错误和避坑指南层层拆解，揭示了内网IP误填、混淆功能模块、忽略多出口网络等高频误区，帮助运维人员真正实现安全与可用的精准平衡。

宝塔面板「IP访问限制」必须开启，否则白名单不生效

很多人填了IP却还是被拦，根本原因是只添加了白名单条目，但没点右上角那个「仅允许白名单IP访问」开关。这个开关默认是关闭的，不手动开启，所有规则都只是“记在本子上”，不会执行拦截或放行逻辑。

操作路径：宝塔面板左侧 → 安全 → 找到 IP访问限制（注意不是「防火墙」或「IP黑白名单」）→ 点击「添加规则」→ 输入你公司办公网的 CIDR 段（比如 203.123.45.0/24）→ 务必勾选 仅允许白名单IP访问 → 提交后确认右上角出现绿色提示「IP访问限制已开启」。

常见错误：

• 把「IP黑白名单」和「IP访问限制」当成同一个功能，其实前者只是日志标记，后者才是真实拦截模块
• 填了 192.168.1.100 这种内网IP——宝塔看到的是你公网出口IP，不是你电脑局域网IP
• 没验证自己是否真在白名单里：用手机切4G网络访问面板，看是否 403；再切回公司WiFi重试

云服务器必须同步配安全组，否则宝塔白名单形同虚设

宝塔的 IP访问限制 是应用层规则，靠 nginx 或面板自身中间件实现。如果请求连服务器的网卡都没进得来，它根本没机会运行。公有云（阿里云、腾讯云等）的流量第一道关卡是「安全组」，它工作在网络层，优先级高于一切软件配置。

必须做两件事：

• 登录云厂商控制台 → 找到对应 ECS 实例 → 进入「安全组」→ 编辑入方向规则
• 把目标端口（通常是 8888）的源地址从 0.0.0.0/0 改成你公司的公网出口IP段，例如 203.123.45.0/24
• 如果公司出口是动态IP或NAT网关，建议先查清真实公网IP（访问 https://ifconfig.me），再填单IP + /32，比如 203.123.45.67/32

漏掉这一步，哪怕宝塔白名单全配对，攻击者只要能连上 8888 端口，就能直接打爆面板登录页。

用了 Cloudflare 就不能直接填自己办公室IP

Cloudflare 是反向代理，你服务器收到的所有请求，REMOTE_ADDR 都是 Cloudflare 的节点IP（如 173.245.48.0/20），不是你工位上的真实IP。如果你在宝塔「IP访问限制」里只加了自己办公室IP，那走 Cloudflare 访问时，100% 触发 403。

正确做法只有两个：

• 不用 Cloudflare 代理宝塔面板域名（推荐）：在 Cloudflare DNS 设置里，把面板域名（如 bt.example.com）的橙色云朵点成灰色，让它直连服务器
• 如果非要用 Cloudflare（比如想套 WAF），就得在宝塔白名单里加 Cloudflare 的全部 IPv4 和 IPv6 段（官方列表见 https://www.cloudflare.com/ips/），再配合 CF-Connecting-IP 请求头做二次校验——但这需要改 Nginx 配置或写 Lua，复杂度陡增

多数人踩坑就在这里：开着 Cloudflare，又想靠 IP 白名单锁死访问，结果把自己关在外面。

WAF 层也要单独放行，否则仍可能 403

「IP访问限制」管的是面板入口（8888 端口），但如果你还开了宝塔自带的网站 WAF（比如给 admin.example.com 套了防护），那它会独立运行一套检测逻辑。即使 IP 过了入口关，WAF 仍可能因 User-Agent、POST 参数长度、URL 特征等把你拦在第二道门。

解决方法：

• 进入宝塔「网站」→ 选中对应站点 → 「防火墙」→ 「白名单」→ 新建模板 → 防护对象选 IP地址 → 输入公司出口IP/CIDR → 在「不检测的模块」里勾满全部选项（尤其是 Web基础防护 和 CC防护）
• 别只信「IP白名单」四个字——WAF 白名单和面板入口白名单是两套完全独立的系统，要分别配
• 临时调试可先开「防护事件」日志，看被拦请求的「命中规则ID」，再针对性忽略 URL 或调阈值，避免一刀切放行带来风险

最常被忽略的一点：公司网络可能有多个出口（比如总部+分公司+4G备份线路），只填一个IP段，另一条线路上的人照样登不进后台。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《宝塔IP白名单设置教程》文章吧，也可关注golang学习网公众号了解相关技术文章。