宝塔Nginx防火墙怎么设置？白名单与误拦截排查

先给操作结论

安装并开启宝塔Nginx防火墙后，不要一上来就改默认规则。先运行默认防护、观察攻击日志，再针对真实业务添加IP、URL或UA白名单。出现接口报错、登录失败或搜索引擎抓取异常时，先查拦截详情，不要直接关闭整个防火墙。

防火墙入口在哪里

官方使用说明显示，插件安装后可以从宝塔面板左侧的“防火墙”进入新版管理页面。概览页会显示拦截次数、攻击IP、攻击趋势和防御动态。

建议先完成三件事：

1. 确认Nginx版本和插件兼容。
2. 逐个开启需要保护的站点。
3. 保留默认规则运行一段时间，建立正常流量基线。

怎么看是否真的拦截了攻击

进入攻击列表后，重点看：

• 攻击IP和访问频率
• 被攻击URI
• 完整URL与参数
• 命中的规则类型
• 请求时间和HTTP信息

同一个IP高频访问不一定都是攻击，监控、搜索引擎和第三方回调也可能产生密集请求。判断前先结合URI和业务行为。

白名单怎么设置

IP白名单

加入后，大部分规则会对该IP失效。只添加稳定、可信且确实需要放行的IP，不要把大段公网IP随意加入。

URL白名单

官方示例强调，URL白名单通常填写路径，不必附带查询参数。例如误拦截地址是：

/index/index/aaa.php?id=123

可以按实际规则填写类似：

^/index/index/aaa.php

范围不要写得过宽，否则会让攻击者绕过防护。

UA白名单

适合固定的内部程序或可信爬虫，但User-Agent可以伪造。重要接口不能只靠UA判断身份。

使用CDN要注意什么

官方旧版说明明确提醒：站点使用CDN时需要正确配置CDN模式，否则防火墙可能把CDN节点当作真实访客，导致封错IP或统计失真。开启前确认回源IP和真实访客IP获取方式。

误拦截怎么排查

1. 复现报错并记录时间、URL和客户端IP。
2. 在拦截搜索中按IP、URI或时间定位记录。
3. 判断是业务请求不规范，还是规则过严。
4. 优先添加最小范围例外，不要关闭整个规则组。
5. 修改后重新测试登录、支付回调、API和搜索引擎抓取。

产品库记录显示，该插件通过指定推广链接购买才关联订单，不参与折扣价与优惠券。

查看宝塔Nginx防火墙详情

常见问题（FAQ）