1panel面板如何设置安全入口？

Question

如何在1Panel面板中配置安全入口以防止未授权访问？常见问题包括：开启HTTPS后SSL证书配置失败、安全入口端口修改后无法访问、反向代理下IP识别异常等。许多用户在设置自定义安全入口路径或启用防火墙规则后，遭遇登录页面无法加载或静态资源404错误。此外，开启两步验证与IP白名单后，如何确保管理员仍可正常登录？请结合Nginx配置、证书管理及网络策略，说明正确设置安全入口的最佳实践。

Answer 1

一、1Panel安全入口配置概述

1Panel作为现代化的服务器管理面板，其默认开放的Web管理端口（如80/443）容易成为攻击目标。为防止未授权访问，需通过多层机制构建安全入口体系，包括HTTPS加密、端口隐藏、路径混淆、IP白名单及两步验证等策略。

• 安全入口核心要素：传输加密（SSL/TLS）、访问控制（IP+路径）、身份认证（双因素）
• 常见风险点：暴露默认端口、弱密码、证书配置错误、反向代理链路中断

二、开启HTTPS与SSL证书配置实践

启用HTTPS是安全通信的基础。在1Panel中可通过内置Let's Encrypt自动签发或导入第三方证书实现。

# 示例：使用acme.sh申请泛域名证书
acme.sh --issue -d panel.example.com --webroot /www/panel -k ec-256
acme.sh --install-cert -d panel.example.com \
  --key-file /opt/1panel/certs/privkey.pem \
  --fullchain-file /opt/1panel/certs/fullchain.pem \
  --reloadcmd "systemctl reload 1panel"

证书类型	适用场景	更新方式
Let's Encrypt	公网可解析域名	自动续期脚本
自签名证书	内网测试环境	手动替换
DV/OV商业证书	企业级部署	定期导入

若出现“证书配置失败”，应检查：

1. 域名是否正确指向服务器IP
2. 80端口是否被防火墙拦截
3. Nginx临时站点是否正常响应ACME挑战
4. 证书路径权限是否为600且属主为1panel用户

三、修改安全入口端口与路径混淆策略

默认端口（如443）易受扫描攻击。建议修改至高位端口并配合非标准路径访问。

# 修改1Panel服务监听端口（/opt/1panel/settings.json）
{
  "port": 18443,
  "routerPrefix": "/secure-admin-v3"
}

重启服务后需同步调整防火墙规则：

ufw allow 18443/tcp
firewall-cmd --permanent --add-port=18443/tcp
firewall-cmd --reload

若修改后无法访问，排查流程如下：

1. 确认1Panel服务已重启并绑定新端口（netstat -tlnp | grep 18443）
2. 检查云服务商安全组是否放行该端口
3. 验证SELinux/AppArmor是否阻止非标准端口
4. 浏览器缓存清理或尝试无痕模式访问

四、反向代理下的真实IP识别问题

当1Panel置于Nginx反向代理后，日志中显示的IP可能为代理服务器本地地址（如127.0.0.1），导致IP白名单失效。

# 正确的Nginx代理配置片段
location / {
    proxy_pass https://127.0.0.1:18443;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_http_version 1.1;
}

同时确保1Panel启用代理协议支持：

# 在1Panel设置中开启"Trust Proxy"选项
# 或修改配置文件启用
"trustProxy": true

graph TD A[客户端] --> B[Nginx反向代理] B --> C[1Panel服务] C --> D[(数据库)] B -- X-Real-IP --> C style B fill:#f9f,stroke:#333

五、静态资源404与路径映射异常分析

启用自定义路径（如/routerPrefix=/admin-safe）后，可能出现前端资源加载失败。

根本原因在于：

• 浏览器请求路径与实际路由前缀不匹配
• Nginx未正确重写URI导致资源定位错误

解决方案示例：

location ~ ^/admin-safe/(.*)$ {
    proxy_pass https://127.0.0.1:18443/$1;
    proxy_set_header Host $host;
    # 其他proxy头...
}

关键点：确保proxy_pass末尾包含$1以传递子路径。

六、两步验证与IP白名单协同工作机制

启用双重保护时，必须预设应急通道，避免管理员被锁定。

安全功能	启用影响	规避方案
IP白名单	仅允许列表IP访问	保留运维跳板机IP
两步验证	每次登录需TOTP码	备份恢复码离线存储
组合启用	高安全性但容错低	设置例外规则（如特定IP免MFA）

最佳实践建议：

1. 将堡垒机或VPN出口IP加入白名单
2. 配置备用认证方式（如FIDO2密钥）
3. 通过API接口预留紧急解除开关（需签名调用）
4. 定期演练灾难恢复流程

七、综合安全架构设计建议

构建纵深防御体系，结合网络层、应用层与身份层控制。

graph LR Internet -->|WAF防护| Cloudflare Cloudflare -->|隐蔽真实IP| Nginx[反向代理] Nginx -->|限速+日志| 1Panel 1Panel -->|审计日志| ELK Admin -->|SSH隧道| JumpServer JumpServer -->|内网访问| 1Panel

推荐部署拓扑：

• 外层：CDN+WAF隐藏源站IP
• 中层：Nginx做TLS终止与访问控制
• 内层：1Panel运行于非标准端口，禁用公网直连
• 管理通道：通过SSH隧道或零信任网关接入