宝塔面板屏蔽恶意IP

当前位置：首页 > 宝塔多机管理 > 宝塔面板屏蔽恶意IP

详情介绍

宝塔面板屏蔽恶意IP是指通过宝塔面板自带的安全管理、防火墙插件或系统防火墙规则，将发起恶意请求、扫描、暴力免费、cc攻破等行为的IP地址加入黑名单,使服务器拒绝该IP的访问。

宝塔面板屏蔽恶意IP的入口

宝塔面板默认提供“安全”管理界面，登录面板后，在左侧菜单选择“安全”，可以看到防火墙开关、SSH管理、端口规则等，防火墙”用于管理IP黑名单和白名单，若使用专业版或企业版，还可以使用“系统防火墙”“网站防火墙”等增强插件。

宝塔面板屏蔽恶意IP 第1张

通过面板安全页手动添加IP黑名单

打开“安全”页面，点击“防火墙”区域的“设置”或“规则列表”，选择“IP规则”，点击“添加规则”，在规则类型中选择“屏蔽”或“阻止”，填写需要屏蔽的IP地址、IP段或CIDR格式，如192.168.1.100或192.168.1.0/24，保存后规则立即生效，对于已经产生的恶意IP，可以在网站日志或“监控”记录中复制IP,粘贴到黑名单。

屏蔽IP段与CIDR写法

在宝塔面板中添加IP规则时，支持单个IP、IP段和CIDR格式，单个IP直接填写如203.0.113.5，IP段可填写203.0.113.1-203.0.113.254，CIDR格式使用斜杠表示子网范围，如203.0.113.0/24表示203.0.113.0到203.0.113.255，添加IP段时要确认范围准确,避免误封相邻IP。

利用宝塔面板“系统防火墙”插件

如果服务器安装了宝塔插件“系统防火墙”，可以在“软件商店”中找到并安装，安装后，在“系统防火墙”界面可以添加IP黑名单，该插件支持更底层的iptables或firewalld规则，屏蔽效果比面板应用层更彻底，添加时需选择协议、端口、来源IP等，屏蔽某IP对所有端口的访问，选择协议TCP+UDP，端口1-65535，来源填入恶意IP，动作选择“拒绝”或“丢弃”。

屏蔽海外IP或指定地区IP

宝塔面板部分版本带“地区限制”功能或配合第三方库，可以按国家或地区屏蔽IP，对于服务器只面向国内用户的情况，可在防火墙插件中启用“禁止海外访问”，或导入中国IP白名单之外的IP屏蔽规则，但如果业务涉及海外访问，则需要谨慎操作,避免影响正常用户。

自动识别并封禁恶意IP

宝塔面板的“网站防火墙”插件具备自动拦截功能，开启后可以设置cc攻破阈值、UA黑名单、URL过滤、恶意爬虫拦截、SQL载入防护等，触发规则的IP会被自动加入黑名单一段时间，可将“自动封禁时间”设置为600秒、3600秒或永久，还可以配置“封禁提示”内容，自动封禁的IP会出现在防火墙的拦截记录中,方便后续查看和释放。

利用系统计划任务定时扫描日志封IP

宝塔面板提供“计划任务”功能，可以添加Shell脚本，定时分析网站访问日志、SSH登录失败日志，提取高频攻破IP并加入黑名单，编写脚本统计Nginx日志中状态码为404、502或请求频率过高的IP，对超过阈值的IP执行防火墙封禁命令，脚本可设置为每5分钟执行一次，需要注意日志路径和日志切割时间,避免重复封禁和误封。

设置SSH防爆破与登录保护

恶意IP经常尝试SSH暴力免费，在宝塔面板“安全”页面可以修改SSH端口、关闭密码登录、开启密钥登录，面板还提供“SSH防爆破”设置，设定单位时间内登录失败次数，超过后自动封禁来源IP，操作路径为：安全 -> SSH管理 -> 防爆破设置，填入尝试次数和封禁时间，保存即可,该功能对服务器安全尤其重要。

网站Nginx/Apache配置屏蔽IP

如果不想使用插件，可以直接在网站配置文件中加入拒绝规则，宝塔面板中打开“网站”，选择对应站点，点击“设置”->“配置文件”,在server块内加入：

deny192.168.1.100;
deny192.168.1.0/24;
allowall;

保存后重载Nginx，Apache可在.htaccess中添加：

OrderAllow,Deny
Denyfrom192.168.1.100
Allowfromall

这种方法只对单个网站生效，不限制该IP访问服务器上的其他站点，如果恶意IP针对某一网站攻破,可以快速在该站配置中屏蔽。

通过.htaccess屏蔽IP

对于Apache环境，宝塔面板中的网站目录可能支持.htaccess，编辑网站根目录的.htaccess文件，添加Deny规则，好处是无需修改主配置，生效快，但要注意.htaccess开启会影响性能，且规则过多时管理不便,适合临时封禁少量IP。

十一、屏蔽恶意爬虫和UA

除了直接屏蔽IP，还可在宝塔面板网站防火墙或Nginx配置中屏蔽特定User-Agent，例如屏蔽SemrushBot、DotBot等恶意爬虫，面板防火墙插件提供“UA黑名单”功能，可直接添加,也可以在Nginx配置中加入：

if($http_user_agent~*"SemrushBot|DotBot"){
return403;
}

这样可以减少来自特定爬虫的抓取和攻破,不一定需要屏蔽IP。

十二、常见恶意IP特征与日志分析

恶意IP通常表现为频繁访问登录页、扫描常见端口、尝试phpMyAdmin、wp-login.php、xmlrpc.php、.env等敏感路径，网站日志中会留下大量4xx或5xx状态码，可在宝塔面板“网站”->“日志”中查看实时日志，筛选高频IP，通过“安全”->“防火墙”的请求记录，查看触发规则的IP,确认恶意后加入黑名单。

十三、屏蔽IP后如何验证

添加规则后，可以尝试使用被封IP访问服务器，若返回403、拒绝连接或超时，说明屏蔽生效，也可以用curl命令指定源IP测试，但仅限本机模拟，或者查看防火墙规则列表，确认规则存在且状态为启用，注意如果是通过面板防火墙屏蔽，可能对已建立的连接不立即中断,需要等待连接超时或手动断开。

十四、解封IP与白名单

如果误封了正常用户IP，可在防火墙规则列表中找到该IP，点击删除或停用，如果是插件自动封禁，可在拦截记录中释放，为防止误封管理员IP，可以把自己常用IP加入白名单，在防火墙中添加允许规则，优先级高于屏蔽规则，这样即使包含在屏蔽段内,也可正常访问。

十五、注意事项

屏蔽IP前务必确认IP归属，避免误伤CDN节点、搜索引擎爬虫或反向代理IP。
如果网站使用CDN，直接屏蔽访问日志中的IP可能只会封到CDN回源节点，需要在防火墙插件中开启“CDN模式”或从X-Forwarded-For获取真实IP。
封禁IP段需要谨慎，尤其是海外IP段或宽带动态IP,可能影响大量用户。
定期审查黑名单，清理过期、无效的规则,防止规则过多拖慢防火墙。
对持续攻破的IP，考虑在系统防火墙层面永久封禁,而不是单站应用层拦截。
保留访问日志和拦截记录,便于追溯和调整阈值。

十六、宝塔面板防火墙插件与系统防火墙的配合

宝塔面板防火墙插件运行在应用层，系统防火墙工作在网络层，两者可以配合使用：插件负责规则识别，系统防火墙负责底层封禁，例如插件检测到cc攻破后，调用命令将IP加入系统防火墙，也可以在系统防火墙插件中直接导入IP黑名单，减轻应用层压力，对于大规模攻破，应用层拦截会消耗资源,底层丢弃更高效。

十七、使用第三方工具与脚本辅助

除了面板自带功能，还可以结合Fail2Ban、DenyHosts等工具，宝塔面板部分环境可安装Fail2Ban，监控SSH、Nginx、Apache日志，自动封禁，面板计划任务也可以调用外部脚本,例如使用简单的shell命令：

#!/bin/bash
BLOCK_IP=$(awk'{print$1}'/www/wwwlogs/example.com.log|sort|uniq-c|sort-rn|head-1|awk'$1>200{print$2}')
if[-n"$BLOCK_IP"];then
iptables-IINPUT-s$BLOCK_IP-jDROP
fi

此脚本仅为示例,实际需根据日志格式调整。