小皮面板怎么开启防火墙防护

学完这篇，你能在小皮面板（phpStudy Linux 面板）里把系统防火墙打开、把该放的端口放出去，并且不会因为误操作把自己关在服务器外面。

第一步：先看清楚你的系统和面板版本

这一步的目的是搞清楚该用哪套防火墙命令，避免后面开的开关和实际系统对不上。

用 SSH 登录服务器（Windows 用 Xshell、macOS/Linux 用终端 ssh root@你的IP），执行：

cat /etc/os-release

看 ID= 那一行：centos、almalinux、rocky 用 firewalld；ubuntu、debian 用 ufw。

再看防火墙当前状态：

systemctl status firewalld    # CentOS 系
ufw status                    # Ubuntu/Debian 系

顺手确认面板端口。浏览器打开 http://服务器IP:8888/你的安全入口，登录后点左下角头像旁边的版本号，能看到类似 8.6.0 的版本；面板端口在「设置」→「面板设置」里可以看到。

注意：小皮面板不同小版本的菜单文字略有差别，有的版本「安全」下面直接是「防火墙」标签，有的版本叫「系统防火墙」。找不到时先在面板首页看有没有提示升级。

第二步：在面板「安全」里打开防火墙总开关

这一步是把系统防火墙真正启用起来。

登录面板，左侧导航栏点「安全」，顶部标签页选「防火墙」（部分版本显示为「安全防护」→「系统防火墙」）。页面首次进入通常显示“防火墙未开启”，中间有一个「开启防火墙」按钮，点它。面板会自动调用系统里的 firewalld 或 ufw 并启动服务。

如果页面上没有这个按钮，说明你的系统没装防火墙组件，去「软件商店」搜索 firewalld（CentOS 系）或直接 SSH 执行 apt install ufw（Ubuntu/Debian 系），装完刷新页面再进一次。

注意：先做完第三步再开这个开关。裸开防火墙，SSH 的 22 端口和面板端口会被一起挡掉，直接失联。

第三步：先放行 SSH 和面板端口

这一步保证你开完防火墙还能连上服务器。

在「防火墙」页面点「添加端口规则」，填：

数据库端口 3306 不要对公网放行，只给 127.0.0.1 用；如果确实要远程连库，改成允许指定 IP 而不是所有 IP。

填完点「确认」，规则会立刻写入防火墙配置文件并生效。

第四步：命令行兜底与验证

这一步用于面板操作失败、或者你想批量加规则时。

firewalld 系：

firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --reload
firewall-cmd --list-ports

ufw 系：

ufw allow 22/tcp
ufw allow 80/tcp
ufw enable
ufw status numbered

验证：在你自己电脑上执行 telnet 服务器IP 80（Windows 需先开启 Telnet 客户端，或在 PowerShell 里用 Test-NetConnection 服务器IP -Port 80），显示连接成功就说明端口通了。

注意：如果你的服务器是阿里云、腾讯云、华为云，云控制台的安全组是独立的一层。防火墙开了、安全组没放行，端口照样不通。去云控制台找到这台实例的「安全组」→「配置规则」→「入方向」，把 80、443、面板端口加上。

注意：万一真被锁死了，用云控制台的 VNC 远程连接进系统，执行 systemctl stop firewalld 或 ufw disable 就能救回来。

小结

• 先查系统类型：CentOS 系用 firewalld，Ubuntu/Debian 用 ufw。
• 顺序不能反：先放行 22 和面板端口，再开防火墙总开关。
• 面板操作入口：左侧「安全」→「防火墙」→「添加端口规则」。
• 3306 不要对公网开放，需要时按 IP 放行。
• 云服务器要同时检查安全组入方向规则，两层都通才算通。
• 锁死时用 VNC 登录停掉防火墙即可恢复。