宝塔面板合规网站服务器配置与安全加固实操指南

一、环境准备与基础安装

本指南基于CentOS 7.9操作系统。请确保服务器为全新或已做好数据备份。

1.1 系统更新与基础依赖

首先以root用户登录服务器，执行以下命令更新系统并安装必要依赖：

``` yum update -y yum install -y wget curl vim unzip git ```

1.2 宝塔面板安装

执行官方一键安装脚本：

``` curl -sSO http://download.bt.cn/install/install_panel.sh && bash install_panel.sh ```

安装过程中，脚本会提示是否同意用户协议，输入y并回车。安装完成后，控制台会显示面板访问地址、用户名及随机生成的密码。请立即记录这些信息。

二、面板基础安全配置

2.1 首次登录与修改密码

使用记录的地址、用户名和密码登录宝塔面板。进入面板后，立即执行以下操作：

• 点击面板右上角用户名，进入「修改密码」页面。
• 设置一个强密码，长度至少16位，包含大小写字母、数字和特殊符号。
• 在「面板设置」中，修改默认的8888端口为一个大于10000的随机端口。

2.2 绑定宝塔账号与开启基础安全

在「面板设置」页面，绑定一个免费的宝塔账号。随后进入「安全」页面，开启以下选项：

• BasicAuth认证：为面板访问增加一层HTTP基础认证。
• 访问限制：将IP白名单设置为仅允许你当前办公网络的公网IP。
• 禁止Ping：开启此选项。

三、服务器环境部署

3.1 软件环境安装

进入宝塔面板的「软件商店」。根据你的网站程序需求，选择对应的运行环境。以下是一个常见的LNMP（Linux, Nginx, MySQL, PHP）环境安装示例：

• Nginx 1.22：选择「极速安装」。
• MySQL 5.7：选择「编译安装」，设置root密码并记录。
• PHP 7.4：选择「编译安装」，在「安装扩展」中勾选opcache、fileinfo和redis（如需要）。

安装过程耗时较长，请耐心等待。

3.2 防火墙配置

在面板的「安全」页面，配置系统防火墙（firewalld或iptables）。仅开放以下端口：

• 22端口：SSH远程连接（建议后续改为非标准端口）。
• 80端口：HTTP服务。
• 443端口：HTTPS服务。
• 你修改的面板端口：如12345。

删除所有其他非必要的放行规则。

四、网站部署与合规配置

4.1 添加网站与SSL证书

点击面板左侧「网站」->「添加站点」。

• 域名：填写你的主域名，如www.yourdomain.com。
• 根目录：使用默认路径，如/www/wwwroot/www.yourdomain.com。
• FTP和数据库：根据需要创建，并记录生成的账号密码。
• PHP版本：选择已安装的PHP 7.4。

站点创建后，点击站点设置中的「SSL」，选择「Let‘s Encrypt」，勾选你的域名并申请免费证书，同时开启强制HTTPS。

4.2 Nginx安全与性能配置

点击站点设置中的「配置文件」，在Nginx配置文件中，在server{}块内添加或修改以下内容：

``` 隐藏Nginx版本号 server_tokens off; 安全请求头 add_header X-Frame-Options "SAMEORIGIN" always; add_header X-Content-Type-Options "nosniff" always; add_header X-XSS-Protection "1; mode=block" always; add_header Referrer-Policy "strict-origin-when-cross-origin" always; 文件上传大小限制（根据业务调整） client_max_body_size 20m; 限制请求方法（仅允许常见方法） if ($request_method !~ ^(GET|HEAD|POST)$ ) { return 405; } 禁止访问敏感文件 location ~ ^/(\.git|\.env|\.svn|config\.php|composer\.json|composer\.lock) { deny all; return 404; } ```

4.3 PHP安全配置

在面板的「软件商店」找到已安装的PHP，点击「设置」->「配置文件」。找到并修改以下参数：

``` expose_php = Off display_errors = Off log_errors = On max_execution_time = 30 upload_max_filesize = 20M post_max_size = 22M ```

修改后，点击「服务」->「重载配置」。

五、数据库安全加固

5.1 MySQL安全配置

在面板的「软件商店」找到MySQL，点击「设置」->「配置修改」。在[mysqld]部分添加：

``` 禁用本地文件读取 local-infile=0 禁止符号链接 symbolic-links=0 启用查询日志（审计用，生产环境可选） general_log = 1 general_log_file = /var/log/mysql/query.log ```

保存后，在「性能调整」中根据服务器内存设置合理的参数，例如2GB内存的服务器：

``` innodb_buffer_pool_size = 1G key_buffer_size = 256M tmp_table_size = 64M max_heap_table_size = 64M ```

5.2 数据库用户权限管理

通过面板的「数据库」页面，为每个网站创建独立的数据库用户，并遵循最小权限原则：

• 只授予该用户对其对应数据库的SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, INDEX, ALTER权限。
• 绝对不要授予GRANT OPTION, FILE, PROCESS, SUPER等高级权限。
• 数据库用户密码使用强密码。

六、系统级安全与监控

6.1 SSH安全加固

通过宝塔面板的「终端」或本地SSH连接服务器，编辑SSH配置文件：

``` vim /etc/ssh/sshd_config ```

修改以下参数：

``` Port 23456 改为一个非标准端口，如23456 PermitRootLogin no 禁止root直接登录 PasswordAuthentication no 禁用密码登录，仅使用密钥 PubkeyAuthentication yes 启用密钥登录 ```

修改前，请确保已将你的公钥（~/.ssh/id_rsa.pub内容）添加到/root/.ssh/authorized_keys文件中。保存后执行systemctl restart sshd重启服务。请务必保持一个当前连接不关闭，用新端口测试连接成功后再关闭旧连接。

6.2 设置Fail2ban防暴力破解

在宝塔面板「软件商店」搜索并安装「fail2ban」。安装后，进入其设置界面，在「配置」->「添加监控规则」中，添加对宝塔面板、SSH和Nginx的防护：

• 名称：bt-panel
• 监控日志路径：/www/wwwlogs/panel.log
• 过滤规则：^.authentication failed.
• 最大重试次数：5
• 封禁时间：3600

对SSH的防护通常已内置，检查/etc/fail2ban/jail.local中[sshd]的enabled是否为true即可。

6.3 配置日志与定期备份

在宝塔面板「计划任务」中，添加以下任务：

• 备份网站：周期为每周一次，保留最新3份，备份到/www/backup/site或远程存储。
• 备份数据库：周期为每天一次，保留最新7份。
• 日志切割：周期为每天，清理超过30天的Nginx、PHP日志。

在「监控」页面，开启基础监控，并设置CPU、内存、磁盘使用率的告警阈值（如90%）。

七、最终检查清单

完成以上所有步骤后，请逐一核对：

• 面板端口已修改，且访问受限。
• 所有服务（网站、数据库）均使用强密码。
• 网站已开启强制HTTPS，无混合内容警告。
• 防火墙仅开放必要端口。
• SSH已改为密钥登录且禁用root。
• Fail2ban已运行并监控关键服务。
• 定期备份任务已创建并成功运行过一次。
• 使用在线安全扫描工具（如securityheaders.com）检查HTTP响应头安全配置是否生效。

至此，一个基于宝塔面板、符合基本安全与合规要求的网站服务器已配置完成。后续应定期更新系统软件、宝塔面板及所有已安装的应用程序。