上一篇
宝塔面板绑定域名访问是指为宝塔管理面板设置一个独立域名,使用户只能通过该域名打开面板登录入口，替代直接使用服务器IP加端口访问的方式，从而提高面板访问的安全性和易用性。
绑定域名前需要准备的事项
在开始操作前,先确认服务器上已经安装宝塔面板并能正常登录，准备一个可以自行解析的域名，建议使用独立子域名，bt.example.com，不要直接使用主域名根域，避免与网站业务冲突，确认服务器防火墙或云服务商安全组已经放行宝塔面板端口，宝塔面板默认端口通常为8888，部分新版本安装后端口会随机生成，请以面板实际显示端口为准，同时需要记住面板安全入口，安全入口是安装时自动生成的随机字符串，不能丢失，否则即使域名绑定成功也无法进入登录页。
如果服务器使用云服务商提供的安全组,需要单独在云控制台添加入站规则，例如放行TCP 8888端口，来源地址可以根据自身网络情况设置为固定IP或全部放行，系统防火墙也需要同步放行，否则外部仍然无法访问面板端口，准备完成后，建议先通过IP加端口加安全入口的方式确认面板可以正常打开，再进行域名绑定操作。
添加域名解析
登录域名注册商或DNS服务商管理控制台,进入域名解析设置页面，添加一条A记录，主机记录填写 bt 或其他自定义前缀，记录类型选择A，记录值填写服务器公网IP地址，TTL可设置为600秒，保存后等待解析生效，可以使用 ping bt.example.com 命令检查解析是否已经指向服务器IP，如果服务器使用IPv6地址，则需要添加AAAA记录，记录值填写IPv6地址。
如果域名之前已经接入CDN或云加速服务,需要先关闭加速或确认回源地址为服务器真实IP，CDN会改变访问来源IP和域名解析结果，容易导致面板绑定后访问异常，建议面板域名不要开启CDN，部分DNS服务商支持国内境外分线路解析，只需保证访问网络能够解析到服务器IP即可，解析生效时间通常与TTL和本地DNS缓存有关，如果长时间不生效，可以尝试更换本地DNS为公共DNS后再测试。
在宝塔面板中绑定域名
登录宝塔面板,进入面板设置，找到安全设置选项卡，在面板绑定域名输入框中填写解析好的域名，只需要填写纯域名，不要加 http://、https:// 或端口号，例如填写 bt.example.com，点击保存，部分宝塔版本在保存后会立即刷新登录状态，原IP加端口访问方式可能失效，需要使用新域名重新登录，保存时如果提示域名格式错误，检查是否包含多余空格或协议前缀。
绑定成功后,面板访问地址变为 http://bt.example.com:面板端口/安全入口，如果同时开启了SSL，则为 https 形式，绑定域名后，如果继续使用IP访问，通常会被面板拒绝，提示未绑定域名或直接无法打开，此时不要惊慌，只要域名解析正确，通过新域名加端口加安全入口即可正常访问，如果确认配置正确但仍无法访问，可以参考后文排查步骤进行恢复。
开启HTTPS证书
域名绑定完成后建议开启面板HTTPS,进入面板设置中的面板SSL选项，可以选择自签证书或Let's Encrypt免费证书，自签证书无需验证域名，但浏览器会提示不受信任，适合临时使用，Let's Encrypt证书需要域名解析已生效，并且服务器80端口能够正常访问，或者使用DNS验证方式申请，申请成功后保存开启SSL，开启后面板访问地址改为 https://bt.example.com:面板端口/安全入口。
如果勾选强制HTTPS,原有HTTP访问会自动跳转或无法连接，开启HTTPS后如果出现证书错误，可以检查域名解析、端口放行以及证书是否签发成功，部分宝塔版本在申请Let's Encrypt证书时需要暂时关闭面板强制HTTPS，否则可能影响验证，证书有效期为90天，宝塔面板通常会自动续签，但建议定期检查证书状态，避免证书过期后面板无法通过HTTPS打开。
修改默认端口与安全入口
绑定域名不会自动隐藏面板端口和安全入口,为了提高面板安全性，可以在面板设置中修改端口，将默认8888改为一个高位端口，例如20000到65535之间未占用的端口，修改前需要在服务器系统防火墙和云服务商安全组中放行新端口，安全入口可以修改为自定义字符串，建议使用大小写字母、数字组成的不易猜测路径，修改后访问地址为 https://bt.example.com:新端口/新安全入口，不要将安全入口设置为空，否则面板登录页面会直接暴露在域名下。
如果服务器使用CentOS 7及以上系统，可以使用 firewalld 命令放行端口，例如执行 firewall-cmd --zone=public --add-port=20000/tcp --permanent 并重新加载，如果使用Ubuntu系统，可以使用 ufw allow 20000/tcp 命令放行，修改端口后需要确认新端口没有被其他服务占用，可以使用 ss -tlnp 或 netstat -tlnp 查看端口占用情况，修改完成后使用新地址测试访问，不要关闭当前登录会话，避免配置错误导致无法进入面板。
绑定后无法访问的排查步骤
绑定域名后如果打不开面板,按以下顺序检查，首先用ping命令检查域名解析是否已经生效，确认解析到服务器公网IP，其次用 telnet 服务器IP 端口 或在线端口检测工具检查面板端口是否可以从外部访问，如果端口不通，检查服务器防火墙和云安全组规则，然后通过SSH登录服务器执行 bt status 或 /etc/init.d/bt status 检查宝塔面板服务是否正常运行，如果服务正常，再检查访问地址是否包含正确端口和安全入口，若使用HTTPS，确认证书没有过期，浏览器没有因为自签证书拦截。
如果问题仍然存在,可以在SSH中执行 bt 命令，根据菜单选择取消域名绑定相关选项，恢复IP访问后重新配置，执行 bt 命令后会显示宝塔面板命令行管理菜单，根据版本不同，菜单中通常包含取消域名绑定、关闭面板SSL、修改面板密码等选项，选择对应数字即可操作，如果不熟悉命令行，也可以联系服务器运维人员协助处理，恢复IP访问后，先检查域名绑定填写是否正确，再重新绑定。
多域名与泛域名绑定注意事项
宝塔面板的域名绑定通常只支持单个域名,不能将面板同时绑定到多个不同域名，也不要使用泛域名形式，如果需要通过多个域名访问面板，可以在取消当前绑定后重新设置新域名，或者使用反向代理方式将不同域名指向面板端口，不建议将面板绑定到已经有网站业务的主域名根域，避免与网站访问冲突，使用独立子域名是最佳实践，例如主域名 example.com 用于网站，bt.example.com 专门用于面板访问。
如果确实需要通过根域访问面板,建议使用反向代理将面板路径映射到根域下的某个子路径，但这种方式配置复杂，并且可能暴露面板入口，普通用户不推荐使用，使用独立子域名还能避免网站访问日志中混入面板访问记录，便于后续审计和排查，如果域名过期或不再使用，需要及时在面板中更换绑定域名，否则可能导致面板无法通过域名访问。
常见操作误区
第一个误区是认为绑定域名后可以不用输入端口,实际上除了将面板端口改为80或443并配合反向代理，否则仍需要输入端口号，第二个误区是认为域名绑定后IP访问就一定被禁止，大多数版本绑定域名后确实会只允许该域名访问，但部分旧版本可能仍可通过IP打开，需要实际测试，第三个误区是解析域名后不经面板绑定就直接访问，这样面板无法识别域名，仍然会拒绝访问，第四个误区是使用CDN域名绑定面板，CDN会改变访问来源IP和回源行为，容易导致绑定失效或证书异常，面板访问不建议套用CDN。
第五个误区是修改端口后忘记放行安全组,很多用户修改端口后无法访问，其实不是面板配置错误，而是云服务商安全组没有放行新端口，第六个误区是绑定域名时填写了完整URL，http://bt.example.com，导致保存失败，输入框中只需要填写纯域名，第七个误区是开启HTTPS后仍然使用HTTP访问，如果面板开启了强制HTTPS，HTTP访问会无法连接，应改用HTTPS地址。
安全建议
为面板设置一个独立的二级域名,不对外公开，开启HTTPS并部署有效证书，修改默认端口和安全入口，在防火墙中尽量只允许自己的办公网络IP访问面板端口，减少面板暴露范围，定期更新宝塔面板到最新版本，不要关闭面板的登录验证机制，不要使用弱密码，绑定域名后如果不再需要通过域名访问，应及时通过SSH执行 bt 命令解除绑定，避免域名过期后被他人解析到其他服务器造成安全隐患。
面板登录地址不要保存在不安全的网络位置,也不要在公共电脑上使用记住密码功能，如果面板需要多人管理，可以为不同人员创建不同权限的面板账号，避免共享同一个管理员账号，定期检查面板登录日志，发现异常登录尝试及时处理，绑定域名是提高面板安全性的一个环节，但不能替代其他安全措施，关闭不必要的端口和服务，保持服务器系统更新，同样重要。
