宝塔面板怎么设置黑名单

学完这篇，你能在宝塔面板里把指定 IP 或 IP 段挡在服务器和网站门外，并且知道该在哪一层动手、怎么不把自己一起封掉。

第一步：先确定你要封哪一层

宝塔里能设黑名单的地方有三个层级，选错等于白设：

1. 服务器防火墙层：作用于整台机器的所有端口，适合封扫端口、爆破 SSH 的 IP。
2. 网站防火墙层：只作用于某个站点，适合封恶意采集、刷页面的 IP。
3. Web 配置文件层：直接写进 Nginx 配置，适合规则少、不想装插件的场景。

只想快速封一个 IP，用第 1 层；要精细控制某个网站，用第 2 层。

以下操作基于宝塔 Linux 面板 9.x，7.x / 8.x 的菜单文字基本一致，位置可能略有差别。

第二步：在「安全」页封 IP（服务器层）

这一步做完，这个 IP 连你的服务器端口都连不上。

1. 左侧菜单点「安全」。
2. 找到页面中部的「防火墙」区域，确认开关是打开状态。
3. 切到「IP 规则」标签，点「添加 IP 规则」。
4. 弹窗里填写：

• 「IP 地址」：单个 IP 如 203.0.113.8，封整段写成 203.0.113.0/24
• 「策略」：选「拒绝」
• 「备注」：写清原因，例如「SSH 爆破」

1. 点「确认」，规则立即生效。

注意：动手前先查清自己的公网 IP（浏览器搜「我的IP」）。封错了你自己也进不去面板，只能去云厂商控制台的 VNC 终端里删规则。如果左侧「安全」页找不到「IP 规则」入口，先去「软件商店」搜「系统防火墙」装上，再回到「安全」页就能看到。

第三步：用网站防火墙插件封 IP（站点层）

这一步只影响某个网站的访客，不影响 SSH 等其他服务。

1. 左侧菜单点「软件商店」，搜索「Nginx防火墙」，点「安装」（免费版可用基础功能，部分高级规则需要专业版）。
2. 安装完成后，左侧菜单会多出「Nginx防火墙」，点进去。
3. 找到「IP 黑名单」（部分版本叫「全局配置 → IP 黑名单」）。
4. 点「添加」，填入 IP 或 IP 段，选择生效站点，保存即可。

如果只想针对某一个站点，也可以走「网站 → 点站点名 → 设置 → 防火墙」这条路，规则只对该站点生效。

注意：插件黑名单封的是「Nginx 层看到的访问者 IP」。如果你的网站挂了 CDN，这里看到的是 CDN 节点 IP，封了会误伤大量正常访客，先看第五步。

第四步：直接改 Nginx 配置封 IP

不想装插件时，可以手写规则。

1. 左侧点「网站」，找到目标站点，点「设置」。
2. 切到「配置文件」标签。
3. 在 server { } 花括号内加入：

deny 203.0.113.8;
deny 198.51.100.0/24;
allow all;

1. 点「保存」，宝塔会自动重载 Nginx，规则即时生效。

注意：deny / allow 是按从上到下的顺序匹配的，allow all; 必须放在最后一行。写在前面会让后面所有 deny 全部失效。

第五步：网站挂了 CDN 时怎么封真实访客

这时 Nginx 拿到的是 CDN 回源 IP，需要先还原真实 IP，再封才准。

在「网站 → 站点 → 设置 → 配置文件」里加入（IP 段换成你所用 CDN 官方公布的回源段）：

set_real_ip_from 0.0.0.0/0;
real_ip_header X-Forwarded-For;

改完保存重载，此时第三步的黑名单就能封到真实访客 IP 了。

注意：set_real_ip_from 0.0.0.0/0 表示信任所有来源，只适合测试。生产环境请填 CDN 官方回源 IP 段，否则别人伪造一个 X-Forwarded-For 头就能绕过你的黑名单。更省事的做法是直接在 CDN 控制台的 WAF 里加 IP 黑名单。

小结

• 封服务器端口和 SSH，用「安全 → IP 规则」；封网站访客，用「Nginx防火墙 → IP 黑名单」。
• 手写规则时，allow all; 必须放在 deny 之后。
• 操作前先记下自己的公网 IP，避免把自己锁在门外。
• 网站走 CDN 时，必须先做真实 IP 还原，否则封的是 CDN 节点。
• 规则生效是即时的，保存后无需重启服务器。