“宝塔防火墙”通常指广东堡塔安全技术有限公司研发的宝塔面板Web应用防火墙（Nginx/Apache WAF）或系统级端口防火墙。当网页显示拦截页面时，说明请求触发了CC高频访问、SQL注入或地域限制规则；站长可在「软件商店 → 已安装 → Nginx防火墙」中解封IP并调优阈值。
宝塔防火墙是怎么回事？所属公司与两类防火墙核心区别
许多初次接触服务器运维的用户或被拦截的普通访客常会搜索“宝塔防火墙是哪个公司的”。从研发主体来看，该组件由广东堡塔安全技术有限公司（即宝塔服务器面板研发方）开发维护，是国内Linux与Windows建站环境中装机量极高的安全防护模块。
在日常运维语境下，“宝塔防火墙”实际上包含两个完全不同层级的安全组件，排查问题前必须先明确区分：
- 系统级防火墙（免费版自带）：位于面板左侧导航栏的「安全」菜单。它本质上是Linux底层
firewalld、ufw或iptables（以及Windows高级安全防火墙）的可视化管理界面，工作在网络层与传输层（TCP/UDP），主要用于控制SSH、HTTP、HTTPS、MySQL等端口的开放与关闭，或针对特定IP进行全端口拉黑。 - Web应用防火墙（Nginx/Apache WAF，专业版/企业版专属插件）：位于「软件商店 → 专业版插件 / 企业版插件」中。它基于
lua-nginx-module（OpenResty底层）或Apache过滤模块工作在HTTP/HTTPS应用层，专门负责解析网页请求中的URL参数、POST表单、Cookie、User-Agent，用于拦截SQL注入、XSS跨站脚本、WebShell一句话木马上传以及CC高频刷新攻击。
当你在浏览器访问某个站点，看到带有盾牌图标、提示“您的请求带有不合法参数，已被网站管理员设置拦截”的页面时，这就是典型的网页显示宝塔防火墙（即应用层WAF插件生效）。触发该拦截页的核心机制主要有以下四类：
- CC攻击防御触发：单个IP在设定的时间窗口内请求HTML动态页面或API接口的次数超过了站长设定的上限（例如网页未做动静分离，单次打开加载了过多小图标或JS切片）。
- GET/POST参数命中危险特征：URL或表单提交内容中包含
select、union、../、eval(等疑似SQL注入、目录遍历或跨站脚本攻击的特征字符。 - User-Agent与爬虫特征异常：使用Python
requests、采集器、空UA或携带被列入黑名单的扫描器标识（如sqlmap、nikto）访问网站。 - 地域或海外访问限制：站长在WAF中开启了“禁止海外访问”或特定地区屏蔽，而访客正挂着代理节点或使用非白名单地区的网络。
如果你需要构建从网络层到应用层的完整防御体系，可以结合阅读本站整理的宝塔面板生产环境安全加固与防篡改全景指南。
网页显示宝塔防火墙怎么解除？访客与站长排查放行教程
针对“宝塔防火墙解除教程”这一高频需求，我们需要分“普通网页访客”和“网站服务器管理员（站长）”两种身份给出具体解决路径。
普通访客遇到网页被拦截的自救方法
如果你只是浏览他人网站时弹出拦截提示，你并没有该服务器的后台权限，请按以下步骤排查恢复：
- 关闭代理与VPN工具：许多站点为防海外肉鸡扫描开启了“禁止海外IP访问”，请切换回国内正常家庭宽带或移动网络后重试。
- 清除当前站点的浏览器Cookie：有时浏览器缓存的旧Session或第三方插件注入的特殊字符会触发WAF的Cookie过滤规则。打开浏览器开发者工具，在应用存储设置中清空该域名下的Cookie。
- 停止高频刷新或关闭多线程下载插件：如果触发的是CC防御，页面通常会提示暂时封锁。停止访问并等待一段时间（或重启光猫更换公网IP / 切换手机热点），封锁倒计时结束后即可自动恢复。
站长后台精准解除与白名单放行步骤
如果你是服务器管理员，发现自己或正常客户被WAF误拦，切勿直接粗暴关闭整个防火墙插件，应按以下面板路径精准放行：
- 定位误杀日志：登录面板，依次点击「软件商店 → 已安装 → Nginx防火墙（或Apache防火墙） → 封锁历史 / 网站日志」。在日志列表中找到被拦截的时间点、客户端IP、被拦截的URL以及具体的“拦截规则名称”（如
args、post、cc）。 - 一键解封IP：在「封锁历史」页面右侧，找到被误封的正常访客IP，直接点击「解封」（若有联动CDN，同时点击「从CDN解封」）。
- 添加IP白名单或URL白名单：
- 若公司办公网固定IP经常多人同时操作后台触发CC，进入「全局配置 → IP白名单」，将办公网IP段填入。
- 若某个特定业务接口（如富文本提交接口
/admin/article/save）频繁触发POST规则误杀，进入「全局配置 → URL白名单」，将该接口相对路径加入白名单。
宝塔面板防火墙设置在哪里？开启路径与防误伤阈值实战
很多新手站长在升级或接手服务器后，经常找不到“宝塔面板防火墙设置在哪里”。这里将两套防护的完整点击路径与生产环境防误伤配置清单整理如下：
- 系统端口防火墙路径：面板左侧导航栏「安全 → 防火墙」。在此处管理端口放行规则（如放行Web常用端口，修改并限制SSH端口仅特定IP可连）。
- Web应用防火墙（WAF）路径：「软件商店 → 专业版插件（或企业版插件） → Nginx防火墙 → 设置」。
在进入Nginx防火墙的配置界面后，默认的参数往往偏保守或在某些高并发场景下容易误伤。建议运维人员按照以下实战经验微调关键阈值：
1. CC防御周期与频率阈值（防正常访客误封）
点击「站点配置 → 找到对应域名 → CC防御」：
- 新手常见误区：将周期设得过长而频率阈值设得过低（例如周期设60秒、频率仅设二三十次）。一旦某个网页包含较多未合并的CSS/JS或图片，或者用户连续点击几个商品页，瞬间就会突破请求上限被拉黑。
- 生产环境建议阈值：对于常规CMS（WordPress、PbootCMS、帝国CMS等），建议将**周期设为
60秒，频率设为120~180次，封锁时间设为300~600秒**。 - 开启CDN后的必做设置：如果域名套了阿里云、腾讯云或Cloudflare等CDN，必须在对应站点的WAF配置中勾选「开启CDN」按钮！否则WAF获取到的全部是CDN回源节点的IP，一旦触发CC规则，WAF会直接把CDN节点IP封死，导致全站所有访客全部无法访问（出现网关错误）。关于CC攻击的深度策略，可参考宝塔面板网站遭遇CC攻击怎么防？Nginx防火墙WAF配置与拦截策略指南。
2. 富文本编辑器与后台保存防误伤（POST与XSS规则）
站长在网站后台发布文章、粘贴带有富文本排版样式的代码，或修改网站全局模板时，经常遇到点击“保存”直接弹出宝塔防火墙拦截页。这是因为提交的排版标签命中了WAF内置的 post 或 args 过滤规则。
- 解决操作路径：进入「Nginx防火墙 → 站点配置 → 点击对应域名右侧的设置 → POST过滤」。
- 调优方法：在观察日志确认是哪条正则规则（例如匹配了
style=、iframe或特定SQL关键字）导致误拦后，不要关闭整个POST过滤开关，而是直接点击该条具体规则右侧的「状态开关」将其单独关闭；或者将该后台管理目录（如/wp-admin/）配置为仅限管理员IP访问并加入URL白名单。
配置完成后如何用命令与日志核实WAF功能真实生效？
在面板中开启开关后，专业的运维人员不会仅凭界面上的绿色“已开启”图标就认为万无一失。有时因为Nginx配置重载失败或Lua模块未正确挂载，WAF可能处于未挂载状态。你可以通过以下三种方式核验其真实生效情况：
1. 检查Nginx配置与模拟攻击测试
在Nginx主配置或WAF挂载配置中，正常启用时会包含如下Lua引用片段：
luajit_waf_path /www/server/btwaf/;
access_by_lua_file /www/server/btwaf/init.lua;在SSH终端中我们可以使用标准 bt 命令检查面板服务状态，并查看实际拦截日志目录：
bt在浏览器或外部测试机访问带有敏感参数的URL，例如在你的网址后加上 /?id=1%20and%201=1 或 /?file=../../etc/passwd。如果网页立即返回禁止访问状态码并展示宝塔防火墙的拦截提示页，且面板首页的“今日拦截次数”自动增加，说明应用层过滤已真实生效。
2. 核查底层拦截日志文件
宝塔Nginx防火墙的所有拦截明细与运行数据均保存在服务器本地磁盘中：
- 核心Lua脚本与规则库目录：
/www/server/btwaf/（包含config.json、rule/下属的args.json、post.json、cc.json等）。 - 各站点独立拦截日志目录：
/www/wwwlogs/btwaf/。每次触发拦截，系统都会以JSON格式将攻击者IP、请求头、命中规则写入对应域名的.log文件中，可在面板直接可视化审阅。
免费版系统防火墙与专业版/企业版WAF插件怎么选？
很多站长在建站初期都会纠结：到底用免费版自带的安全组件就够了，还是有必要升级专业版/企业版开启商业WAF？下表从防护层级、性能损耗与运维成本几个维度进行了客观对比：
| 对比维度 | 宝塔免费版系统防火墙（安全菜单） | 手动编译开源 Lua WAF（如 ngx_lua_waf） | 宝塔专业版/企业版 Nginx/Apache 防火墙（WAF） |
|---|---|---|---|
| 工作层级与原理 | 网络层/传输层（基于 firewalld / ufw） | 应用层（需手动重编译Nginx挂载Lua脚本） | 应用层深度解析（官方集成OpenResty Lua引擎） |
| 核心防护能力 | 端口开关控制、指定IP/IP段全端口封禁 | 基础SQL注入、简单正则匹配拦截 | 防CC攻击、防SQL注入/XSS、防恶意爬虫、防一句话木马上传、地区屏蔽 |
| 可视化与排障体验 | 仅展示端口列表，无Web请求日志 | 纯文本日志，误杀排查需翻阅代码与正则 | 图形化封锁历史、一键解封IP、分站点独立开关与URL白名单 |
| CDN回源真实IP识别 | 不支持（封禁IP会直接封死CDN节点） | 需手动编写 http_x_forwarded_for 解析逻辑 | 面板内一键勾选「开启CDN」自动提取访客真实IP |
| 获取方式与授权形式 | 宝塔免费版内置（无需授权费用） | 代码开源，但极耗费运维调试与升级工时 | 需开通专业版或企业版授权（本站固定IP永久版 ¥19.99/台） |
客观选型边界：什么情况下免费版就完全够用？
作为长期服务一线站长的技术平台，我们建议按实际业务风险做理性决策，无需盲目追求高配：
- 免费版完全够用的场景：如果你的服务器仅用于运行纯静态HTML企业展示站、个人内部测试环境，或者你的域名已经全量接入了具备商业WAF防护的高防CDN（并且在云服务器安全组中严格限制了Web端口仅允许CDN回源IP段访问，彻底隐藏了源站IP），那么宝塔免费版自带的「安全」系统防火墙配合云厂商安全组就已经完全够用，无需额外付费开启WAF插件。
- 建议启用专业版/企业版WAF的场景：当你的服务器直接暴露源站公网IP、运行着WordPress/Discuz/商城/API接口等动态PHP或Java程序、频繁遭遇同行CC肉鸡刷新导致CPU跑满报错，或者需要结合企业版「网站防篡改」插件锁死核心目录防止反复被挂暗链木马时，启用商业级WAF能节省大量手动写正则与查日志的时间。关于各版本的详细差异，可查阅宝塔面板免费版够用吗？专业版与企业版核心区别及选型指南以及宝塔永久企业版与专业版完全选型指南（总览）。
附：如何无损升级解锁宝塔WAF防火墙插件？
如果你当前使用的是Linux免费版面板（当前最新同步版本为 v13.1.0），决定开启Nginx网站防火墙与防篡改等插件，无需重装系统或重新部署网站。在本站绑定服务器公网IP开通授权后（固定IP永久授权为 ¥19.99/台；支持换绑 10 次的可换IP永久授权为 ¥88.88/台），只需在服务器SSH终端执行以下无损在线升级命令：
setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &如果是全新Linux服务器首次安装企业版/专业版，则可在绑定IP后直接执行：
curl -sSO https://baota.in/install/install_panel.sh && bash install_panel.sh针对Windows Server服务器（当前版本 v8.5.2）或海外国际版 aaPanel PRO（当前版本 v8.0.7），也可随时参考配套文档 https://baota.in/tutorial.html 获取对应的安装与无损升级脚本。执行完毕后刷新面板，即可在「软件商店」直接安装并启用Nginx/Apache网站防火墙。